Gunra 勒索軟體攻擊升級：鎖定政府與關鍵基礎設施，美韓六大機構聯手示警

背景與起源

Gunra 是一種 勒索軟體即服務（RaaS） 的營運模式，最早於 2025 年 4 月 現身，並在 2026 年迅速擴大攻擊活動 。它建構在 外洩的 Conti v1 勒索軟體原始碼 之上，透過結構化的聯盟計畫運作：核心開發人員維護加密器、支付基礎設施和資料洩漏網站，而聯盟成員則負責執行入侵行動，並與核心團隊拆分贖金 。

雙重勒索模式

Gunra 採用 雙重勒索（double-extortion） 手法：聯盟成員在加密系統之前，會先竊取敏感性資料，然後威脅若未支付贖金，將在組織的資料洩漏網站上公布這些資料 。受害者通常被給予一個 五到七天的嚴格期限 來支付贖金，否則資料將被公諸於世 。

被利用的漏洞

主要的初始入侵管道是 Fortinet FortiOS 與 FortiProxy 產品中的兩個認證繞過漏洞：

• CVE-2024-55591 — 一個影響 FortiOS 與 FortiProxy Node.js WebSocket 模組的認證繞過漏洞，自 2024 年 11 月起就被當作零日漏洞利用 。它允許未經認證的遠端攻擊者獲得超級管理員權限，CVSSv3 評分高達 9.6 。

• CVE-2025-24472 — 一個認證繞過漏洞（CWE-288），影響 FortiOS 7.0.0 至 7.0.16 版，以及 FortiProxy 7.2.0 至 7.2.12 版 / 7.0.0 至 7.0.19 版 。如果啟用了 Security Fabric 功能，具備上下游設備序號知識的遠端未經認證攻擊者，可在下游設備上獲得超級管理員權限 。

攻擊者利用這些漏洞，在暴露的 FortiGate 防火牆和 SSL-VPN 設備上建立 持久的超級管理員帳號，繞過 MFA，並橫向移動進入企業網路 。調查人員已在被入侵的設備上發現一個名為 forticloud-sync 的惡意持久性帳號 。

全球受害者範圍

Gunra 的攻擊目標遍及 全球 多個關鍵基礎設施領域，包括：

• 醫療保健
• 金融服務
• 關鍵製造業
• 交通運輸
• 政府機關（聯邦、州、地方）
• 公用事業 / 能源
• 學術機構

攻擊技術與加密細節

一旦進入網路內部，Gunra 的聯盟成員會使用常見的 Windows 管理工具來存取 Active Directory、VDI 基礎設施、資料庫伺服器、NAS 系統、Microsoft OneDrive 和 Microsoft SharePoint 。加密器使用多執行緒的 ChaCha20 結合 RSA-4096 進行金鑰保護，並為加密檔案附加 .ENCRT 副檔名，同時留下名為 R3ADM3.txt 的勒索信 。此外，還有一個專門針對 Linux 系統的變體，據報導其存在一個弱點：其加密金鑰衍生自一個以 srand(time(NULL)) 初始化的偽隨機數生成器（PRNG），這可能使得金鑰恢復成為可能 。

規避偵測的手法

為了避免被發現，Gunra 聯盟成員會採取標準的運作安全措施：

• 刪除受感染 Fortinet 設備和 Windows 系統上的存取日誌
• 清除命令歷史與 Shell 歷史檔案
• 停用安全工具並竄改日誌服務

建議的防禦措施

這份聯合資安通告重點強調了以下關鍵緩解措施 ：

• 立即修補面向網際網路的系統 — 優先處理 VPN 閘道器、防火牆設備及暴露的 RDP 基礎設施。Fortinet 已針對 CVE-2024-55591 和 CVE-2025-24472 發布修復程式；組織應升級至 FortiOS 7.0.17 或更新版本，以及 FortiProxy 7.0.20/7.2.13 或更新版本 。
• 維護離線、不可變的備份 — 將備份儲存在實體隔離、分段的位置，並定期測試還原程序 。
• 實施網路分段 — 透過隔離關鍵資產和限制網域管理員權限來限制橫向移動。
• 在所有遠端存取和 VPN 連線上強制執行 可抗釣魚的 MFA。
• 停用未使用的 RDP 連接埠 並套用最小權限存取控制。

這份通告由 FBI、CISA、NSA、國防部網路犯罪中心（DC3）、美國特勤局以及韓國國家警察廳（KNPA）共同發布 。各機構強烈敦促組織將事件通報給 CISA 或 FBI，而非與駭客協商贖金要求 。