FBI、CISA、NSA、国防総省サイバー犯罪センター、韓国のサイバーセキュリティ機関による共同勧告により、Gunraランサムウェアの運営者が、最も信頼されているエンタープライズセキュリティツールの一つである多要素認証を回避する方法を見つけたことが確認されました。ワンタイムコードを盗んだり、ログインセッションをフィッシングしたりするのではなく、Gunraのアフィリエイトは被害者のサーバー上の認証ファイルを直接書き換え、暗号化を展開してデータを窃取する前に、内部からMFA保護を事実上無効化しました。

今月発行されたこの勧告は、ランサムウェア・アズ・ア・サービス集団がMFAをもはや欺くべき障害物とは見なしていないことを、より明確に公に確認したものの一つです。彼らはそれを、一度足場を確保すれば単純に再構成できるインフラストラクチャとして扱っています。

GunraがサーバーレベルのMFAを回避した方法

勧告によると、Gunraのアフィリエイトは、FortinetのファイアウォールおよびVPNアプライアンスの既知の脆弱性と、Schneider Electricシステムの欠陥を悪用して、政府、重要インフラ、エンタープライズネットワークへの初期アクセスを獲得しています。侵入後、ログインプロンプトでMFAを打ち破ろうとするのではなく、攻撃者はサーバー自体に保存されている認証設定ファイルを狙いました。

それらのファイルをソースレベルで変更することで、Gunraの運営者は通常なら不正ログインを阻止するMFAチェックを無効化または回避でき、被害者の第2要素を必要とすることは一切ありませんでした。これは、ユーザーを標的とするSIMスワップやプッシュ通知疲れ攻撃などの典型的なMFAバイパス技術とは意味が異なります。Gunraのアプローチは、ポリシーを執行するインフラストラクチャ自体を標的としており、つまり欠陥は行動上のものではなく構造上のものです。勧告がGunraが依存していると指摘するファイアウォールやVPNアプライアンスなどのエッジデバイスの既知の脆弱性にパッチを適用することが、組織がこの扉が開く前に閉じる最も直接的な方法であり続けます。

Gunraはランサムウェア・アズ・ア・サービスとして運営されており、中核となるマルウェアはあるグループによって構築・維持され、アフィリエイトが個々の攻撃を実行し、しばしば以前のランサムウェアファミリーから漏洩したコードを再利用します。この構造により、勧告が複数の国の政府、医療、重要インフラターゲットにすでに被害を与えていると指摘していることから、この作戦はセクターや地域を超えて急速に拡大するのに役立っています。

Linuxバリアントにおける明るい材料

勧告はまた、GunraのLinuxベースの暗号化プログラムにおける顕著な弱点も指摘しています。研究者らは、暗号化プロセスがファイルのタイムスタンプの痕跡を残すことを発見しました。これは、場合によっては、攻撃者に何も支払うことなく復号鍵を再構築するために使用できます。この特定の亜種に攻撃されたLinuxサーバーを運用している組織にとって、これは犯罪集団との交渉ではなく、フォレンジック分析を通じて暗号化されたデータを復旧する道を開くものです。

この種の実装上の欠陥は、漏洩したコードを再利用または適応させるランサムウェアファミリーでは珍しくなく、すべてのGunra被害者が無料で復旧できるという意味ではありません。Windows側の暗号化プログラムは同じ弱点を共有していないようであり、組織は復旧の試みをDIY修正ではなく経験豊富なインシデントレスポンダーの仕事として扱うべきです。それでも、被害者が支払うかバックアップから再構築するかの選択を迫られることが多いランサムウェア環境において、これは稀な良い知らせです。

その選択が重要なのは、証拠が支払いが確実に問題を解決しないことをますます示しているからです。Proofpointの調査では、ランサムウェアへの支払いは裏目に出ることが多いことが判明しました。多くの組織が、支払い後もデータを失った、再攻撃に直面した、または使用可能な復号ツールを受け取れなかったと報告しています。Gunra勧告はそのパターンを強化しています：最も安全な賭けは交渉ではなく、予防と復旧可能性です。

これはあなたにとって何を意味するか

この勧告の読者のほとんどはGunraに直接標的とされることはないでしょうが、根底にある教訓は広く当てはまります。MFAは防御の重要な層ですが、特に攻撃者がそれを執行するサーバー側の設定に到達できる場合、絶対無欠ではありません。企業、病院、学校、地方自治体機関のためにITシステムを管理している場合、この勧告はファイアウォールとVPNアプライアンスのファームウェアが最新であるかどうかを確認するシグナルです。Gunraの初期アクセスは既知のパッチ適用可能な脆弱性に大きく依存しているからです。

一般ユーザーにとって、教訓はこの特定のランサムウェアファミリーについてというよりは、自分のデータの扱い方についてです。重要なファイルの定期的なオフラインのバックアップを維持することは、攻撃者がどのように侵入したかに関係なく機能する数少ない防御策の一つであり続けます。機密ファイルのコピーをどのくらいの期間、どこに保持するかも、使用しているサービスが侵害された場合の露出に影響します。自身のデータ保持習慣と、依存しているプラットフォームのそれを理解することは、単一の侵害が露出させ得るものを制限するための実用的なステップです。

重要なポイント

露出したFortinetまたはSchneider Electric機器を運用している組織は、それがGunra侵入の記録された侵入口であるため、直ちにパッチ適用を優先すべきです。ITチームは、MFAが有効であるだけで機能していると想定するのではなく、サーバー側の認証設定に不正な変更がないか監査すべきです。Gunraに攻撃されたLinux管理者は、勧告に記載されているタイムスタンプベースの復旧欠陥を考慮し、ファイルが完全に失われたと想定する前にインシデントレスポンスの専門家に相談すべきです。そして他のすべての人にとって、この勧告は、Gunraランサムウェアおよび同様のグループが時代遅れのインフラストラクチャに対して最も成功することが多いことを再度思い出させるものであり、パッチ管理とバックアップの規律を単一のセキュリティツールよりも価値あるものにしています。