米韓当局が「Gunra」ランサムウェアに警告、Fortinetやシュナイダー製品の脆弱性を悪用した重要インフラ攻撃が拡大

要点

• 米国と韓国のセキュリティ・諜報機関が、世界各国の重要インフラを標的とする「Gunra」ランサムウェア攻撃について共同で警告を発した。
• 攻撃者はSchneider ElectricやFortinetのネットワーク機器の脆弱性を悪用して初期侵入を果たし、二重恐喝を行っている。
• 2025年4月の出現以降、東アジアや欧州を中心に少なくとも51件の被害が確認されており、2026年1月にはRaaS展開も開始された。
• 侵入後は正規ツールやスクリプトを悪用して夜間に横展開を進め、テラバイト規模のデータをクラウドストレージへ持ち出す手口が確認されている。

---

米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）や米連邦捜査局（FBI）、韓国のサイバーセキュリティ・情報機関は、世界中の重要インフラや組織を狙うランサムウェア「Gunra」の脅威に関する共同注意喚起を発表しました。CISAのサイバーセキュリティ担当副長官代行であるクリス・ブテラ（Chris Butera）氏は、Gunraについて「米国および国際機関に混乱と被害をもたらしているランサムウェア攻撃の継続的な傾向における新たな変種である」と指摘しています。

脆弱性を突いた初期侵入と二重恐喝の手口

Gunraを展開する攻撃者は、インターネットに接続されたSchneider Electricの電力保護リレー管理機器「PowerLogic P5」（CVE-2024-5559）や、Fortinetの「FortiOS」「FortiProxy」（CVE-2025-24472）に存在するセキュリティ脆弱性を悪用して標的ネットワークへの初期アクセスを取得しています。

初期侵入に成功した後は、データの抜き取りとデータの暗号化を組み合わせた「二重恐喝（Double Extortion）」を実行します。被害者が5〜7日以内に身代金を支払わない場合、攻撃者が運営するデータ漏洩サイト上に盗み出した情報が公開される仕組みとなっています。セキュリティ研究者のラケシュ・クリシュナン（Rakesh Krishnan）氏の分析によると、脆弱性悪用のほかにフィッシングメールも主要な侵入経路として用いられており、身代金の交渉にはWhatsApp風の独自チャットパネルが使われているとのことです。

また、暗号化処理には「Salsa20」や「ChaCha20」といった高速なストリーム暗号が採用されており、短時間で9テラバイトに及ぶ巨大なファイルを暗号化する能力を備えていると報告されています。

被害の傾向とRaaSモデルへの移行

ランサムウェア追跡サイト「Ransomware.Live」の集計データによると、Gunraは2025年4月に脅威ランドスケープに現れて以降、累計で51件の被害組織をリストアップしています。被害は韓国、ブラジル、スペイン、タイ、香港などに集中しており、オーストラリア、東アジア、欧州の組織が大部分を占めています。カナダや米国での報告は現時点で3件にとどまっています。標的となった業界は医療・公衆衛生、金融サービス、政府機関および関連施設、専門職・非営利サービスなど多岐にわたります。

このグループは過去の大規模ランサムウェア「Conti」派生の作戦を展開しており、2026年1月にはダークウェブフォーラム上で正式なRaaS（Ransomware-as-a-Service：ランサムウェア・アズ・ア・サービス。攻撃基盤を有償提供するビジネスモデル）のアフィリエイトプログラムを開始しました。参加者には管理パネル、暗号化ビルダー、複数OS向けの暗号化ペイロード、マニュアル類が提供されています。

Windows版とLinux版の双方が提供されていますが、Breakglass Intelligenceが2026年3月に発表した解析では、Linux版の実装において時間をシード値にした乱数生成処理に起因する重大な暗号の欠陥が確認されており、身代金を支払わずに暗号化キーを復元できるケースがあったことも判明しています。

巧妙な隠蔽工作と社内ネットワークの掌握

FBIの調査によると、Gunraの背後にいる脅威アクターは「Golden Community」などの別名義を使用して活動を拡大しているほか、侵入テスト担当者やホワイトハッカーを初期アクセスブローカーとして勧誘し、身代金の分け前を提示して企業ネットワークへのアクセス権を買い取る動きも見せています。

侵入後の攻撃チェーンでは、オープンソースのネットワーク探索ライブラリ「Impacket」に含まれるツール群が悪用されています。「psexec.py」や「smbclient.py」を用いてSMBプロトコル経由で横展開（ラテラルムーブメント）を行い、ドメインコントローラーに対しては「secretsdump.py」を実行してNTDSファイルからアカウントのパスワードハッシュを窃取します。

追跡を逃れるための隠蔽工作も徹底されており、システムやネットワークのアクセスログの消去、コマンド実行履歴のクリアが行われるほか、活動や偵察の多くは検知されにくい午後10時から午前6時の夜間帯に実施されています。

さらに、Microsoft OneDriveやSharePointからのデータ窃取には「main.exe」という実行ファイルが使われ、場合によってはテラバイト規模のデータを圧縮してオンラインストレージ「MEGA」へ外部転送していました。重要文書の収集にとどまらず、IT管理者の仮想デスクトップ（VDI）環境に接続してネットワークやシステムの構成情報を奪取する事例も確認されています。