概要

CISA、FBI、米国防総省サイバー犯罪センター(DC3)、NSA、米シークレットサービス、韓国国家警察庁は8月10日、医療・金融・製造・運輸・行政・公益事業・教育・小売・専門サービスなど幅広い分野を標的とするGunraランサムウェアについて、共同勧告(AA26-222A)を発表した。#StopRansomwareキャンペーンの一環で、攻撃手法や侵害指標(IOC)を共有し、対象組織に早急な対策を呼びかけている。

Gunraは2025年4月に確認されたランサムウェアで、リークした旧Contiランサムウェアのソースコードを基盤としている。2026年に入りランサムウェア・アズ・ア・サービス(RaaS)モデルへ移行し、身代金の80%をアフィリエイトに配分する形で攻撃者を募集。ダークウェブのリークサイトには、これまでに世界各国の30組織超が被害者として掲載されているという。

攻撃の手口

Gunraのアフィリエイトは、VPNゲートウェイやファイアウォール機器、RDP公開システムなど、インターネットに露出したエッジインフラを侵入経路として悪用する。具体的には、FortiOS・FortiProxyの認証回避脆弱性(CVE-2024-55591、CVE-2025-24472)の悪用や、デフォルト認証情報のまま運用されているSSL-VPN管理アカウントへのアクセス、公開VPNゲートウェイの漏洩済み認証情報やSSHアクセス制御の不備の悪用が確認されている。侵入後はVDIポータルの認証処理を改ざんし、攻撃者が制御するワンタイムパスワードを受け入れさせることでMFAを事実上回避する手口も報告されている。

侵害後の横展開にはImpacket(psexec.py、smbclient.py、secretsdump.py)などのSMBベースのツールが用いられ、OpenSSHトンネル・7-Zip・Rclone・FileZillaを使ったデータ流出、WMIによるWindowsシャドウコピーの削除も確認された。Windows環境を主な標的としつつ、2025年後半にはLinux版も開発されている。ファイル暗号化にはChaCha20とRSA-4096を組み合わせた多スレッド処理が用いられ、暗号化後のファイルには.ENCRT拡張子が付与され、ランサムノートR3ADM3.txtが設置される。窃取したデータには業務上重要な文書やデータベース、個人識別情報(PII)、社内メールなどが含まれ、身代金交渉に応じない場合は公開・売却すると脅す二重恐喝の手口が用いられている。

推奨される対策

勧告では、インターネットに公開されているVPN・ファイアウォール・RDPなどのシステムを洗い出し、既知の悪用脆弱性に対するベンダーパッチを優先的に適用することを求めている。あわせて、漏洩の可能性がある認証情報の失効、デフォルトアカウントや休眠中の管理者アカウントの削除も推奨されている。

ネットワークセグメンテーションについては、単なるコンプライアンス対応ではなく実効的な被害封じ込め策として扱うべきだとし、ユーザー端末・VDI・ID管理サービス・バックアップ・管理ネットワークの分離、不要なSMB/RDPトラフィックの遮断、管理アクセスの専用ハード化端末への限定、通常のドメイン認証情報ではアクセスできないバックアップ基盤の構築を挙げている。さらに、オフラインかつ改ざん不能なバックアップを物理的に分離した場所に保管し、定期的な復旧テストを行うことも重要だとしている。検知面では、管理ツールの不審な使用や異常なアーカイブ作成、クラウドストレージへの不審な転送の監視に加え、勧告に添付されたSTIX形式のIOCを検知基盤に取り込み、MITRE ATT&CKフレームワークに基づいた脅威ハンティングを行うことが推奨されている。