VPN機器の既知脆弱性から侵入する二重恐喝RaaS「Gunra」— FBI・CISA・韓国警察庁が共同警告

2026年8月10日、米国のFBI（連邦捜査局）、CISA（サイバーセキュリティ・インフラセキュリティ庁）、NSA（国家安全保障局）、米国シークレットサービス、国防総省サイバー犯罪センター（DC3）と、韓国警察庁（KNPA）は、ランサムウェア「Gunra」に関する共同勧告（AA26-222A）を発表した。Gunraの攻撃手法の詳細と、組織が取るべき対策をまとめた内容だ。

Gunraとは何か

Gunraは2025年4月に初めて確認された二重恐喝型のランサムウェアだ。二重恐喝とは、データを暗号化するだけでなく、その前にデータを窃取し、「公開するぞ」と脅して身代金を要求する手口を指す。

分析によると、Gunraは2022年に流出したContiランサムウェアのソースコードに由来する。2026年初頭からは、攻撃ツールを犯罪者に提供する**RaaS（ランサムウェア・アズ・ア・サービス）**として拡大した。「Golden Community」という別名を使い、ダークウェブのフォーラムでアフィリエイト（加盟攻撃者）を募集。企業ネットワークへの侵入役（初期アクセスブローカー）として、ペネトレーションテスターの勧誘も行っている。

Gunraの被害者は、南北アメリカ、欧州、中東、アフリカ、アジア太平洋と世界規模に広がる。医療、金融、製造、運輸、政府機関、公益事業などが標的だ。トレンドマイクロの分析では、漏えいサイトの掲載情報として日本の組織も確認されている。

侵入経路: 狙われるのは「境界の機器」

勧告が特に注意を促すのは、インターネットに面したVPN機器やファイアウォールの既知脆弱性だ。Gunraの攻撃者は次のような経路で侵入する。

• Fortinet製品の認証バイパス脆弱性 — CVE-2024-55591、CVE-2025-24472（FortiOS / FortiProxy）。悪用されると、管理者権限を持つ偽のユーザーアカウント「forticloud-sync」が自動作成される
• VPN機器の初期設定パスワード — アカウントロックアウト（連続失敗時の一時停止）が設定されていない環境で、管理者アカウントを奪取した事例がある
• SSHのアクセス制御の不備 — 韓国警察庁は、インターネットに面したVPNゲートウェイで認証情報の露出やSSHの脆弱性が悪用されたと報告している

つまり「守るための装置」であるVPN機器そのものが、攻撃の入り口になっている。境界機器のパッチ適用と設定の棚卸しは、Gunra対策の第一歩と言える。

侵入後の動き: 認証情報を奪い、MFAもすり抜ける

Gunraの攻撃者は、侵入後も執拗に認証情報を狙う。勧告には、実際の被害事例に基づく手口が詳しく記されている。

• 横展開 — Impacket（攻撃ツール群）のpsexec.pyやsmbclient.pyでSMB通信を使い、ネットワーク内を横に移動。RDP（リモートデスクトップ）でVDI（仮想デスクトップ基盤）にも侵入する
• 認証情報の窃取 — secretsdump.pyでドメインコントローラーのNTDS.dit（パスワードハッシュのDB）からハッシュを窃取し、pass-the-hash / pass-the-ticket（窃取したハッシュやチケットを再利用する攻撃）で特権システムへ移動
• MFAの回避 — VDIの認証ポータルの処理ファイルを改ざんし、攻撃者が指定したOTP（ワンタイムパスワード）が常に認証を通るバックドアを作成。多要素認証（MFA）を事実上無効化した事例もある
• 暗号化前の妨害工作 — 活動時間は深夜帯（22時〜6時）に集中。システムやネットワークのログ削除、コマンド履歴の消去も行う

暗号化とデータ窃取

暗号化はChaCha20 + RSA-4096の組み合わせで、マルチスレッドによる高速処理を特徴とする。Linux版は最大100スレッドの並列暗号化に対応し、ブロックデバイス（ディスク全体）の暗号化も可能だ（トレンドマイクロの分析）。暗号化されたファイルには**.ENCRT**（Windows版、および初期のLinux版）、.GNRA（2026年に確認されたLinux版）などの拡張子が付き、各ディレクトリに身代金メモ「R3ADM3.txt」が残される。

身代金の要求はTor（匿名通信網）上の専用ポータルとqTox（暗号化チャット）で行われ、交渉期間は5〜7日。要求額は数千万ドル規模に上ることもあるという。支払わなければ、窃取したデータを漏えいサイトで公開すると脅す。

データ窃取も大掛かりだ。Microsoft 365のOneDriveやSharePointを標的にした専用ツール（main.exe）を使い、数十テラバイト規模のデータを外部に持ち出す事例が確認されている。外部送信にはファイル共有サービスMegaやFTPが使われる。暗号化の前後にはボリュームシャドウコピー（Windowsのバックアップ機能）の削除や、本番・災害対策（DR）両サイトのバックアップ削除も実行される。復旧手段を先に潰してくる点が特徴だ。

希望の材料: Linux版は「身代金なし」で復号できる場合がある

2026年3月の研究（Breakglass Intelligence）によると、GunraのLinux版には暗号鍵生成の欠陥がある。乱数生成の種（シード）が実行時刻（srand(time(NULL))）に依存しており、ファイルのタイムスタンプから暗号鍵を数学的に再構築できる場合がある。つまり、身代金を支払わずにファイルを復号できる可能性がある。CISAの勧告もこの点に言及し、Linux版（.GNRA拡張子）の被害では「暗号化ファイル、タイムスタンプ、身代金メモ、ログを保存するよう」呼びかけている。復旧を試みる前に、こうした研究情報の確認を検討してほしい。

今、何をすべきか

勧告は、Gunra対策として次の項目を挙げている。

1. 境界機器のパッチ適用と棚卸し — VPNゲートウェイやRDPを公開している機器に、既知の悪用済み脆弱性がないか確認する。特にFortinet製品はCVE-2024-55591、CVE-2025-24472の修正を最優先で。初期設定パスワードやアカウントロックアウトが未設定のアカウントも見直す
2. オフラインの不変バックアップ — 物理的に分離された場所に、書き換え不能（イミュータブル）なバックアップを保管し、復旧訓練を行う
3. ネットワークの分離 — 侵害された端末から社内全体へ横展開されないよう、セグメントを分ける
4. 認証の強化 — VPN・Webメール・重要システムにMFAを適用。Active Directoryに身に覚えのないアカウントや特権アカウントの増加がないか監査する
5. 侵害時の報告 — 被害が疑われる場合は、証拠（ログ、身代金メモ、暗号化ファイル）を保全し、当局（日本では警察庁やJPCERT/CCなど）へ報告する

身代金を支払っても、ファイルが確実に戻る保証はない。支払いは追加の標的を生み、犯罪活動の資金になる。CISA・FBIも身代金の支払いを推奨していない。

出典: CISA — #StopRansomware: Gunra Ransomware（AA26-222A、2026年8月10日） / Trend Micro — Gunra Ransomware Group Unveils Efficient Linux Variant / Breakglass Intelligence — Gunra Ransomware’s Linux Variant Has a Fatal Flaw / NVD — CVE-2024-55591 / NVD — CVE-2025-24472