Gunraランサムウェアがアーセナルに新たにLinux用暗号化ツールを追加し、アフィリエイトが企業データをロックする方法をより自由にコントロールできるようになりました。
このコマンドラインペイロードは最大100の暗号化スレッドを起動できる設計となっており、Linuxサーバー、仮想マシン、NASアプライアンス、ストレージに対する攻撃を防御側が検知・阻止できる時間を大幅に圧縮します。
運営者らはその後Linux版を投入し、2026年1月までに、管理ツール、設定可能なビルダー、ロッカーペイロード、ドキュメントとともに販売されるアフィリエイトプログラムを正式に確立しました。
このLinuxバイナリは万能型の暗号化ツールではありません。運営者は実行時引数によって、スレッド数の設定、拡張子の選択、検出された全ファイルの選択、ファイルごとの暗号化上限の設定、部分暗号化の比率の定義を行うことができます。
これにより、アフィリエイトは速度、影響範囲、ストレージ特性に応じてペイロードを調整できます。大規模なデータベースや仮想ディスクイメージの全バイトを暗号化するのではなく、部分暗号化によって重要なコンテンツを短時間で破壊しつつ、実行時間を短縮することが可能です。
Gunraはハイブリッド暗号方式を採用しており、32バイトのChaCha20鍵と12バイトのノンスがファイルの内容を1MB単位のチャンクで暗号化する一方、RSA-4096がファイルごとの暗号鍵材料を保護します。
Linux版の実装では、RSAで暗号化された鍵材料を暗号化対象オブジェクトに付随させるのではなく、別個のキーストアファイルに保存できます。
Picus Securityの研究者らによると、Gunraは2022年に流出したContiのソースコードから派生したランサムウェア・アズ・ア・サービス（RaaS）です。
Cloudsecurity certification
| 属性 | 詳細 |
| 別名 | Gunra、Golden Community |
| マルウェアの種類 | ランサムウェア・アズ・ア・サービス（RaaS）、二重恐喝 |
| 初確認 | 2025年4月、Windows版として確認。Linux版は2025年7月に報告。RaaSプログラムは2026年1月に開始 |
| 系統 | 2022年に流出したContiのソースコードをベースに構築 |
| 対象プラットフォーム | WindowsおよびLinux |
| 暗号化方式 | ChaCha20とRSA-4096 |
| 初期侵入に使われたCVE | CVE-2024-55591およびCVE-2025-24472 |
| 影響を受けた地域 | 南北アメリカ、欧州、中東、アフリカ、アジア太平洋 |
Linuxキャンペーンで暗号化されたファイルには.ENCRT拡張子が付与されていました。一方Windows版のペイロードは、ディレクトリの処理後にR3ADM3.txtという身代金要求メモを書き込みます。
Gunraランサムウェアの攻撃手法
今回の攻撃の運用面で重要なのは、その並列処理性能です。Gunraのスレッド上限はホストのプロセッサ数に連動するのではなく、運営者側が制御しています。ペイロードはワーカーの処理完了を待機する際、共有スレッドカウンターを10ミリ秒ごとにポーリングします。
この挙動により、高速かつ持続的な暗号化フェーズを実現しつつ、アフィリエイトはロッカーの処理が完了する前にホストを使用不能なほど圧迫してしまう事態を回避できます。
暗号化はあくまで最終的な圧力手段にすぎません。Gunraは二重恐喝モデルに従っており、アフィリエイトは支払いをTorベースの交渉ポータル経由で要求する前に、文書、データベース、個人を特定できる情報、社内メールを窃取します。
調査担当者は、main.exeがOneDriveおよびSharePointを標的にしている様子を確認しており、圧縮アーカイブはMegaに窃取されていました。報告されている窃取量は数十テラバイトに達しており、盗まれたデータが流出してしまえば暗号化されたシステムの復旧だけでは不十分な状況になります。
初期侵入は、インターネットに公開されたFortiOSおよびFortiProxyデバイスを繰り返し狙う形で行われてきました。攻撃者はCVE-2024-55591およびCVE-2025-24472という認証バイパスの脆弱性を悪用しており、スケジュールタスクを介して悪用することで、ハードコードされたパスワードを持つforticloud-syncスーパーユーザーアカウントを作成できます。
被害環境の内部では、同グループはSMBによる横展開とNTDSの認証情報ダンプにImpacketツールを使用し、トンネリングにはOpenSSHを利用し、RDPへのピボットには窃取したVDIセッションデータを使い、さらにVDIの認証処理を改変して攻撃者が選択したOTPでMFAを回避できるようにしていました。
復旧の妨害は、暗号化を展開する前から意図的に行われています。Gunraはcmd.exe経由でWMIを呼び出してボリュームシャドウコピーを削除しており、ある事例では本番環境と災害復旧用インフラの両方でバックアップおよびアーカイブデータを削除していました。
ComputerScience
防御側は、公開されているFortinetデバイスに直ちにパッチを適用し、forticloud-syncや想定外の特権アカウントの有無を監査し、VDI認証ファイルを点検し、異常なアーカイブ作成、クラウドへの転送活動、Impacketの実行、急速なファイル名変更などの兆候を示すシステムを隔離する必要があります。
Picus Platformは、Gunraに特化した攻撃シミュレーションを提供し、導入済みの各種コントロールにわたって防御シグネチャをマッピングします。これにより防御側は、アフィリエイトに先んじて、自社の防御スタックが侵入から暗号化に至る一連の攻撃チェーンをブロックできるかどうかをテストする手段を得られます。
[ライブウェビナー] ElasticとUnderDefenseが共催するウェビナーにご参加ください。小規模なセキュリティチームがAIの可視性とエージェント型の対応を単一の運用モデルへ統合する方法を学べます。 -> 今すぐ登録
翻訳元: https://gbhackers.com/gunra-ransomware-attack-2/
