gunra

Gunra は2025年4月に登場したランサムウェアで、漏えいした Conti のソースコードに由来し、または強く影響を受けているとされる[s2][s5]。RansomLook の記録では初出は2025年4月23日で、連絡手段は tox とメールである。米FBIは2025年4月に初めて観測し、Tor 上にリークサイト（DLS）を早期に開設して被害組織の一覧と窃取データの公開に使わせたと説明する[s2]。CYFIRMA は2025年4月に出現した金銭目的の攻撃者とし、解析した検体のコンパイル時刻を2025年4月10日（UTC）としている[s5]。CISA は2026年1月時点で正式な RaaS アフィリエイト制度が始まったとし、アフィリエイトには管理パネル、設定可能なビルダー、クロスプラットフォームのロッカー、体系的な手引きが提供されると述べる[s2]。FBI は Golden Community という別ブランドでの活動も観測した[s2]。

手口として、FBI は初期侵入の主経路をファイアウォールや VPN 機器など外部公開機器の既知の脆弱性悪用とし、CVE-2024-55591 と CVE-2025-24472（いずれも FortiOS・FortiProxy の認証回避）を挙げる[s2]。韓国警察庁（KNPA）は、VPN ゲートウェイの認証情報露出と SSH アクセス制御の不備を突く手口を観測した。ある被害では SSL-VPN 機器の管理者アカウントの初期パスワードが使われ、ロックアウト機能がなかった。その後、攻撃者は外部サーバーから OpenSSH を取得してトンネルを張り、アカウント設定を改変して永続化した[s2]。内部では Impacket の psexec.py と smbclient.py で SMB 経由の横展開を行い、secretsdump.py で NTDS からハッシュを取得して pass-the-hash や pass-the-ticket に使った[s2]。盗んだセッション情報で VDI 環境に入り、RDP で認証サーバー、Active Directory サーバー、IT 担当者の仮想デスクトップへ移った[s2]。

Windows 版の暗号化プログラムは FindFirstFileW と FindNextFileW で A から Z までの全ドライブを列挙する[s2]。CYFIRMA の解析では、WMI でシャドウコピーを削除し、拡張子 .ENCRT を付与して、各ディレクトリに R3ADM3.txt を置く[s5]。実装は C/C++ で、IsDebuggerPresent による解析回避も確認された[s5]。2025年半ばには Linux 版が登場し、クロスプラットフォーム化が進んだと報じられた[s2]。

二重脅迫では、データを窃取してから暗号化し、公開すると脅す[s2][s5]。ノートは Tor ベースの交渉ポータルへ誘導し、被害者には Client ID と初期パスワードが割り当てられる[s2]。その後 qTox での連絡を指示し、5〜7日以内の交渉を求める。支払われなければデータをリークサイト上で売ると脅す[s2]。CYFIRMA は5日間の期限と、WhatsApp 風の交渉画面に「Manager」などの役割がある点を指摘する[s5]。RansomLook に記録された連絡先は、tox: 2507312EC10BB44ED9DAA04E3C5C27E8C13154649B1A02E73ACFAE1681EE0208D05133A8FB2247829AF1C943D4C296C910706923A5199BDA4995B076ED9A9016F7DEF161D445DF00F13E6900、メール: a00f105546345756@proton[.]me である。

標的と被害について、CISA はリークサイトの被害組織が南北アメリカ、欧州、中東、アフリカ、アジア太平洋に及ぶとする。業種は医療、金融・保険、製造・建設、運輸・物流、政府機関、公益、教育、メディア・通信、小売、専門サービス・非営利団体に広がる[s2]。CYFIRMA は不動産、製薬、製造を挙げ、日本、エジプト、パナマ、イタリア、アルゼンチンの企業が被害に遭ったと伝える[s5]。ただし提供された出典には、日本の被害組織名や公表時期は記載がない。

動向としては、2026年に RaaS へ拡大し、ペネトレーションテスターや倫理的ハッカーを初期アクセスブローカーとして募り、身代金の分配を提示している[s2]。CISA は2026年8月10日に FBI、DC3、NSA、USSS、韓国警察庁との共同勧告 AA26-222A を公表した。勧告は VPN ゲートウェイや RDP 公開機器の既知の悪用脆弱性の優先的修正、オフラインかつ不変のバックアップ、ネットワーク分離を求めている[s2]。