日米韓6機関が合同警告：GunraランサムウェアがFortinet VPNの脆弱性を悪用、多要素認証を突破して世界各地の政府・重要インフラを標的に

背景と起源

Gunraは、Ransomware-as-a-Service（RaaS） として運営される組織で、2025年4月に初めて確認され、2026年を通じて活動を本格化させました。その基盤は漏洩したConti v1ランサムウェアのソースコードであり、コア開発者が暗号化プログラムや決済インフラ、データリークサイトを維持する一方、アフィリエイトが侵入を実行し、身代金を山分けするという構造的なアフィリエイトプログラムを通じて運用されています。

二重脅迫モデル

Gunraは二重脅迫（ダブルエクストーション） アプローチを採用しています。アフィリエイトはシステムを暗号化する前に機密データを外部に持ち出し、身代金が支払われなければ窃取したデータを公開すると脅迫します。被害者には5～7日間という厳格な支払い期限が設定され、期限が過ぎるとデータがグループのリークサイトで公開されます。

悪用される脆弱性

Gunraの初期侵入経路は、主にFortinet FortiOSおよびFortiProxy製品の2つの認証バイパス脆弱性です。

• CVE-2024-55591 — FortiOSおよびFortiProxyのNode.jsウェブソケットモジュールに影響する認証バイパス脆弱性。2024年11月からゼロデイとして悪用されています。認証されていないリモート攻撃者がスーパーアドミン権限を取得することを可能にします。CVSSv3スコアは9.6と非常に重大です。

• CVE-2025-24472 — CWE-288に分類される認証バイパス脆弱性で、FortiOS 7.0.0～7.0.16およびFortiProxy 7.2.0～7.2.12 / 7.0.0～7.0.19に影響します。Security Fabric機能が有効な場合、上流および下流デバイスのシリアル番号を知っている認証されていないリモート攻撃者が、下流デバイスでスーパーアドミンアクセスを取得することを許します。

アフィリエイトはこれらの脆弱性を悪用し、公開されたFortiGateファイアウォールやSSL-VPNアプライアンスに永続的なスーパーアドミンアカウントを作成し、認証処理を改変することでMFAをバイパスし、企業ネットワーク内部に横方向に移動します。調査により、侵害されたデバイスにforticloud-syncという悪意ある永続アカウントが作成されていることが確認されています。

世界中の被害範囲

Gunraは世界中の複数の重要インフラセクターに属する組織を標的にしています。

• 医療
• 金融サービス
• 重要製造業
• 運輸
• 政府機関（連邦、州、地方）
• 公益事業／エネルギー
• 学術機関

攻撃手法と暗号化の詳細

ネットワーク内部に侵入した後、Gunraのアフィリエイトは一般的なWindows管理ツールを使用して、Active Directory、VDIインフラ、データベースサーバー、NASシステム、Microsoft OneDrive、Microsoft SharePointにアクセスします。暗号化プログラムはマルチスレッドのChaCha20とRSA-4096を組み合わせて鍵を保護し、暗号化されたファイルには.ENCRT拡張子が付与され、R3ADM3.txtという身代金要求文書がドロップされます。Linux向けの別の亜種も存在し、その暗号鍵はsrand(time(NULL))で初期化されるPRNGから導出されるという弱点があり、鍵の回復が可能となる可能性があります。

検知回避の手口

検知を避けるため、Gunraのアフィリエイトは以下の標準的な運用セキュリティ対策を講じます。

• 侵害されたFortinetアプライアンスやWindowsシステム上のアクセスログを削除
• コマンド履歴やシェル履歴ファイルを消去
• セキュリティツールを無効化し、ログ記録サービスを改変

推奨される防御策

共同勧告は以下の主要な緩和策を強調しています。

• インターネット公開システムへの即時パッチ適用 — VPNゲートウェイ、ファイアウォールアプライアンス、RDP公開インフラを優先。FortinetはCVE-2024-55591およびCVE-2025-24472の修正プログラムをリリース済み。FortiOS 7.0.17以降、FortiProxy 7.0.20/7.2.13以降に更新すべきです。
• オフラインかつイミュータブルなバックアップの維持 — 物理的に分離され、セグメント化された場所にバックアップを保管し、復元手順を定期的にテストします。
• ネットワークのセグメンテーション — 重要な資産を隔離し、ドメイン管理者権限を制限することで横方向の移動を制限します。
• すべてのリモートアクセスとVPN接続にフィッシング耐性のあるMFAを強制します。
• 未使用のRDPポートを無効化し、最小権限のアクセス制御を適用します。

本勧告はFBI、CISA、NSA、米国防総省サイバー犯罪センター（DC3）、米シークレットサービス、韓国警察庁（KNPA）によって共同で発行されました。各機関は、身代金要求に応じるのではなく、インシデントをCISAまたはFBIに報告するよう強く促しています。