米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）、FBI、および政府パートナーは、Gunraランサムウェアの攻撃者が被害ネットワークに侵入する方法に関する追加の技術的詳細を公開した。最新の共同勧告によると、Gunraのアフィリエイトは、インターネットに接続された機器に存在する2つの既知の脆弱性を突いて最初の足掛かりを得ている。これは、ほぼすべての組織のネットワーク境界に置かれているエッジハードウェア、VPNゲートウェイ、ファイアウォール、リモートアクセスアプライアンスの類いだ。

これは、当局が以前に医療セクターを標的にしていることや、データ窃取とファイル暗号化を組み合わせた攻撃的な二重恐喝スキームを展開していることについて警告していた、ランサムウェア・アズ・アサービス（RaaS）事業に関する以前の警告の追補である。新しいガイダンスは侵入そのものの仕組みに焦点を絞り、防御側がどこに注意を向けるべきかをより明確に示している。

Gunraの攻撃者が悪用している脆弱性

勧告によると、Gunraの攻撃者は新規のゼロデイ脆弱性に依存していない。代わりに、組織がリモートワーク、サイト間接続、外部サービスを有効にするために公衆インターネットに公開しているソフトウェアやアプライアンス、つまりインターネット接続機器に存在する、すでに知られている2つの脆弱性を悪用している。このパターンは、ほとんどのRaaSアフィリエイトの手口と一致する。すなわち、高価なエクスプロイト開発に投資するのではなく、インターネットをスキャンして未パッチのシステムを探し、本来ならすでに閉じられているはずのドアを通り抜けるのだ。防御側にとっての教訓は明快だ。公表されてから長い間、既知の脆弱性は危険であり続ける。実際の組織内でのパッチ適用サイクルは、攻撃者が公開されたエクスプロイトコードを武器化する速度よりも遅いことが多いからだ。

侵入後にGunraが足掛かりを得る方法

Gunraのアフィリエイトは、これらの侵入口の1つを悪用すると、そのアクセスを使ってネットワークの奥深くへと移動する。VPNコンセントレータやファイアウォールなどのインターネット接続機器は、まさに、それを侵害することで内部システムが正当とみなす信頼レベルが得られることが多いため、格好の標的となる。そこから攻撃者は、永続性を確立し、資格情報を収集し、Gunraの二重恐喝モデルを特徴づけるデータ窃取と暗号化の段階に備えてネットワークのマッピングを開始できる。最初の侵害がネットワーク境界で発生するため、境界機器を「設定したら放置する」インフラとして扱う組織は特に危険にさらされる。これらの機器は一度導入されると、セキュリティよりも稼働時間を優先して設定され、ファームウェアやパッチの見直しもないまま何年も稼働し続けることが多い。

ギャップを埋めるためのパッチ適用と構成手順

この勧告の中核的な推奨事項は、Gunraに限らずランサムウェア攻撃全般に広く当てはまるものだ。インターネット接続機器に速やかにパッチを適用し、通常の更新よりも、既知で活発に悪用されている脆弱性を優先することだ。ITおよびセキュリティチームは、VPNゲートウェイ、ファイアウォール、リモートアクセスツールなど、インターネットに公開されているすべての機器の最新のインベントリを維持し、それぞれがサポート対象の更新されたバージョンを実行していることを確認する必要がある。すぐにパッチを適用できない場合は、影響を受けるサービスの停止や、修正が適用されるまでのアクセス制限を検討すべきだ。すべてのリモートアクセスポイントでの多要素認証は、通常とは異なるログイン活動のログ記録とアラートと組み合わせることで、たとえ機器に未パッチの欠陥があっても、もう1つの抵抗力の層を加える。

VPNアクセス制御とネットワーク分割がランサムウェアの拡散を抑える理由

パッチ適用を徹底していても、組織が常にゼロの露出を保証できるわけではない。だからこそ、アクセス制御とセグメンテーションは最初の修正と同じくらい重要になる。VPNアクセスは厳密にスコープを定め、ユーザーには環境全体への広範なアクセスではなく、実際に必要なネットワークセグメントのみを許可すべきだ。侵害されたエッジ機器から機密システム、バックアップサーバー、ドメインコントローラへ直接到達できないようにネットワークを分割することは、封じ込められたインシデントと本格的なランサムウェア事象の分かれ目になり得る。これらの管理策はすべての侵入を防ぐわけではないが、攻撃者の動きを遅らせ、暗号化やデータ持ち出しが発生する前に防御側が検知して対応する時間を稼ぐ。

これが意味すること

IT管理者とセキュリティチームにとって、この勧告は、Gunraのようなランサムウェアグループが、高度で斬新な攻撃ではなく、未パッチのシステムと過度に寛容なネットワークアクセスという基本的な要素を悪用することによっていまだに成功し続けていることを思い出させるものだ。効果的なGunraランサムウェア対策は、組織がインターネットに公開しているすべての機器を正直に監査することから始まる。医療機関や、Gunraの勧告でこれまでに名指しされた別のセクターで事業を運営している場合、グループがすでにそれらの環境を特に標的にする意思を示しているため、緊急性はさらに高い。

実行可能な要点

組織は、VPNゲートウェイやファイアウォールを含むすべてのインターネット接続機器のインベントリを作成し、既知の脆弱性に対するパッチ状況を確認すべきだ。多要素認証と最小権限のVPN権限でリモートアクセスを制限する。1台の侵害された機器からバックアップや重要なシステムが露出しないようにネットワークを分割する。完全な防御計画を構築するために必要な技術的指標とセクター固有のガイダンスについては、Gunraの医療標的化と二重恐喝戦術に関する以前のCISA、FBI、NSAの勧告を確認すること。