Gunraランサムウェアの実行者は、被害者のファイルをロックする前にあらゆる簡易な復旧手段を排除する、破壊的な手法を採用しています。
確認されたある事例では、同グループはランサムウェアの展開前後に、プライマリデータセンターと災害復旧サイトの両方に保存されていたバックアップおよびアーカイブデータを削除していました。
この手口は被害者への圧力を大幅に高めます。標準的なバックアップ計画を備えた組織であっても、復旧インフラそのものが利用できなくなる可能性があるためです。
Gunraは2025年4月に登場したランサムウェアファミリーで、流出したContiのソースコードと関連があるとされています。
その後、ランサムウェア・アズ・ア・サービス(RaaS)へと事業を拡大し、アフィリエイトが管理パネルや設定可能なランサムウェアビルダー、クロスプラットフォーム対応のペイロード、運用ドキュメントを利用できるようになりました。
米国および韓国の当局は、同グループがGolden Communityという名称を使用していることも確認しています。
この脅威は二重恐喝モデルを採用しています。システムを暗号化する前に、アフィリエイトは業務文書やデータベース、個人を特定できる情報、社内メールといった機密データを窃取します。
その後、被害者が身代金を支払わない場合、盗んだ情報をTorベースのリークサイトで公開または売却すると脅迫します。
Gunraはこれまで、政府機関、医療、金融サービス、製造業、運輸、公益事業、非営利サービスなど、複数の地域にまたがるさまざまな分野の組織を標的にしてきました。
Gunraのアフィリエイトは通常、脆弱なインターネット接続ファイアウォールやVPNゲートウェイ、リモートサービスを悪用して初期アクセスを獲得しています。
調査担当者は、FortiOSおよびFortiProxyの認証バイパスの脆弱性であるCVE-2024-55591とCVE-2025-24472の悪用を確認しています。これらのバグは、forticloud-syncという名前の永続的なFortiOSスーパーユーザーアカウントを作成するために悪用される可能性があります。
内部に侵入した後、攻撃者は正規の管理ツールやリモートサービスを多用します。SMB経由の横展開や認証情報の窃取には、psexec.py、smbclient.py、secretsdump.pyといったImpacketのユーティリティが使われています。
ある事例では、攻撃者はドメインコントローラーからNTDSのパスワードハッシュを収集し、特権システムに対するパスザハッシュやパスザチケットの攻撃を可能にしていました。
同グループはまた、アクセスを維持するためにアカウントや認証設定を変更しています。確認されたある侵入事例では、Gunraの攻撃者が使用されていないアカウントを改変し、パスワード変更を不要にしていました。
また、仮想デスクトップインフラ(VDI)ポータルのファイルを変更し、選択した1回限りのパスワードで多要素認証を回避できるようにしていました。
こうした活動は、ランサムウェアによるインシデントが単なるマルウェア被害にとどまらないことを示しています。これは、不正なアカウントやセッション、アクセス経路がすべて排除されるまで持続しうる、ネットワーク全体の侵害なのです。
ランサムウェア展開前に、Gunraは価値の高いデータを収集します。攻撃者はmain.exeと呼ばれる悪意のあるファイルを使用して、Microsoft OneDriveやSharePointからデータを取り出しています。
また、ファイルをアーカイブした上で、7-Zip、RClone、FileZillaといったツールを使い、Megaなどのサービス経由で窃取します。報告されたデータ窃取量は、事例によっては数十テラバイトに達しているとpicussecurityは述べています。
バックアップへの攻撃は特に深刻です。GunraはWindows Management Instrumentation経由でWindowsのボリュームシャドウコピーを削除し、多くのローカル復元手段を封じます。
さらに重要なのは、その実行者がエンドポイントのバックアップにとどまらず、本番環境と災害復旧環境の両方のバックアップインフラ上のデータまで削除している点です。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの全体像を完全に把握し、SOCを強化してMTTRを短縮
翻訳元: https://cyberpress.org/gunra-cripples-backup-recovery/
