米連邦捜査局（FBI）とサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）の合同勧告により、Gunraランサムウェアグループが、主に未パッチのFortinetファイアウォールを悪用して、少なくとも51の病院、政府機関、金融機関に侵入したことが確認された。さらに同勧告では、GunraのLinuxベースのマルウェアに重大な弱点があることも明らかにされた。乱数生成器に欠陥があり、被害者が身代金を支払うことなく暗号化ファイルを復元できるというものだ。

この調査結果は、Gunraの活動に関するこれまでで最も詳細な公開分析の一つであり、インフラを標的とするパターンと、防御側のための技術的ロードマップを組み合わせている。依然として露出した、あるいは古いネットワーク機器を稼働させている組織にとって、この勧告は、既知の脆弱性から全面的なランサムウェアインシデントに至るまでの猶予が縮まり続けていることを明確に示すシグナルである。

Gunraランサムウェアが51の病院と政府ネットワークに侵入した手口

勧告によると、Gunraの被害者リストは医療機関、政府機関、金融機関にわたり、これらのセクターは機密データを保有し、長時間のダウンタイムを許容できないことが多い。その組み合わせが、被害者に迅速な支払いを迫ろうとするランサムウェア事業者にとって魅力的な標的となる。

このグループは活発に活動しており、国際的な法執行機関から継続的な注目を集めている。今年初め、韓国と米国の当局が共同捜査を発表し、このギャングが金融、医療、製造業へと活動範囲を広げていることを受けての対応だった。今回の51件という被害者数から、そうした監視の目があったにもかかわらず、Gunraは活動を継続し、企業や機関のネットワークへの新たな侵入口を見つけ出していることがうかがえる。

攻撃者が悪用した未パッチのFortinetファイアウォールの脆弱性

勧告は、Gunraの侵入における主要な初期アクセス経路として、未パッチのFortinetファイアウォールを挙げている。ファイアウォールはネットワークの境界に位置するため、価値の高い標的となる。いったん侵害されれば、攻撃者は内部システムへ水平移動し、認証情報を収集し、比較的抵抗を受けることなくランサムウェアのペイロードを展開できることが多い。

これはランサムウェア攻撃全般でよく見られるパターンである。攻撃者は、労力のかかるソーシャルエンジニアリングよりも、境界機器の既知の未パッチ脆弱性を好む傾向がある。単純に、露出した古いファイアウォールをインターネット上でスキャンするほうが、フィッシング用の囮を作成するよりも速く、安上がりだからだ。Gunraの二重恐喝戦術に関するCISAとFBIの合同勧告では、このグループがこのアクセス手法とデータ窃取を組み合わせ、ファイルを暗号化するだけでなく、盗んだファイルを漏洩すると脅迫する、今や標準的な二重恐喝アプローチをとっていることが概説されている。これにより被害者への支払い圧力が高まる。

GunraのLinux暗号化の欠陥により、被害者が身代金を回避できる理由

勧告の中で最も実用的な詳細は、GunraのLinux亜種に関するものだ。研究者らは、このマルウェアが被害者のファイルをロックする暗号鍵の生成に弱い乱数生成器を使用していることを発見した。この生成器は予測可能であり、感染したシステムに残されたデータから再構築できるため、セキュリティ研究者は攻撃者に支払いをすることなくファイルを復元できる程度に暗号化プロセスをリバースエンジニアリングすることができた。

これは、Gunraに攻撃されたLinuxサーバーを運用する組織にとって意味のある発見である。ランサムウェアの復号が単純であることは稀であり、ほとんどの亜種は、少なくとも理論上、攻撃者の秘密鍵なしでは破ることが計算上不可能な暗号化実装を使用している。弱い、または再利用された乱数生成器は、理論上の弱点ではなく、実際の実装エラーであり、犯罪者との交渉に代わる真の選択肢を防御側に提供する。

とはいえ、この欠陥を悪用するには通常、技術的な専門知識、侵害されたシステムへのフォレンジックアクセス、そして攻撃で残された痕跡の慎重な取り扱いが必要となる。Gunraの感染が疑われる組織は、自己流で復旧を試みるのではなく、影響を受けたシステムを現状のまま保存すべきである。不適切な取り扱いは、暗号鍵の再構築に必要な痕跡そのものを破壊する可能性があるからだ。

身代金よりパッチ：機関と個人のためのセキュリティ教訓

この勧告全体を通じて繰り返されるテーマは、初期侵入も最終的な回避策も、回避可能な技術的ギャップに起因しているということだ。初期アクセスに悪用されたFortinetファイアウォールは未パッチであり、既知の修正プログラムが存在していたにもかかわらず、適時に適用されなかったことを意味する。そしてLinuxランサムウェア亜種は、自身の暗号化プロセスにおけるコーディング上の手抜きによってのみ失敗した。どちらの結果も、高度なゼロデイ攻撃を必要としなかった。

特に病院、政府機関、金融機関にとって、これはセキュリティ専門家が長年繰り返してきた教訓を裏付けるものである。ファイアウォールやVPNアプライアンスなどの境界機器におけるパッチ管理はオプションではない。これらのシステムは、簡単な標的を求めてインターネットをスキャンするランサムウェア事業者にとって、最初の接点となることが多いのだ。

これが意味すること

あなたがITインフラを管理しているなら、特に医療、政府、金融サービス分野では、Gunraに関するこの勧告は、Fortinet機器を監査し、現在のファームウェアとすべてのセキュリティパッチが適用されていることを確認するよう直接求めるものである。既にGunraランサムウェアの被害に遭い、Linuxシステムを実行しているなら、急いで支払おうとしないこと。身代金支払いを検討する前に、既知の暗号化の弱点についてインシデント対応の専門家に相談すること。

一般ユーザーや小規模組織にとってのより広範な教訓も同様だ。ランサムウェアグループが成功を収めるのは、風変わりな手法によってではなく、軽視された基本事項によってであることが増えている。ネットワークハードウェアを最新に保ち、異常なアクセスパターンを監視し、オフラインバックアップを維持することが、このような勧告の次の掲載対象にならないための最も信頼できる防御策であり続ける。

最終的な考察

GunraランサムウェアのLinux復号の欠陥は、51の病院、機関、金融機関が侵害されたという厳しい内容の勧告の中で、まれに見る明るいニュースである。既に生じた損害を取り消すことはできないが、そうでなければ支払いを余儀なくされたかもしれない被害者に前進の道を提供する。同グループに対する法執行機関の継続的な圧力と相まって、この事例は単純な真実を浮き彫りにする。攻撃者に見つかる前に既知の脆弱性にパッチを当てることは、事後に交渉するよりも常に安価で、迅速かつ安全なのである。