2025年7月27日公開
バージョン／ビルド情報：Gunra Ransomware 初確認 Apr2025／AhnLab TIP July 23 2025 公表
対象ユーザー：Windows環境を使用する企業・団体、特に不動産、医療、製造など重要データを扱う組織
- Gunraとは何か？背景と発生から解説
- ユーザーの声：Gunraにどう向き合えばいいか？
- 技術的な詳細とエラーコードX‑123の原因
- Contiの亡霊が蘇る、Gunraの進化と社会的影響
- ユーザーの声：リーク型ランサムはもう終わったはずでは？
- Gunraが引き起こした実被害とその構造的課題
- Gunraへの現実的な防御と、今後のランサムウェア情勢予測
- ユーザーの声：ランサムウェア対策って、現場では本当にできるの？
- Gunra以後の世界：ランサムウェアはどこへ向かうのか？
- 総まとめ：エラーコードX‑123が意味するもの
Gunraとは何か？背景と発生から解説
🔴まずは、なぜこの情報が必要なのか丁寧に説明します。Gunraランサムウェアは2025年4月10日に初確認された新しい脅威で、その名は同時期に開設されたDedicated Leak Site（DLS）とともに浮上しました｡これはContiランサムウェアのコード流用により独自進化し、迅速交渉圧力を特徴としています｡AhnLab TIPのDark Web Watch機能がこの脅威を迅速にとらえたため、企業の防御構築に役立つ最新情報が多数含まれていますPortal+13ASEC+13ASEC+13。
Gunra は Conti の源流コードを活かしつつ、交渉開始を「5日以内」に限定する心理的圧迫戦術を導入しています。これは交渉時間を短縮し、被害者を早期に屈服させる狙いがありますASEC。
また、Gunra の特徴として、Windows システムに対してマルチスレッド処理でユーザーデータを並列暗号化する動作や、影響を最小限にするため Windows フォルダやシステム関連ファイル（.exe .dll .sys 等）は除外する設計があります。標的ユーザーフォルダーは C:\Users に限定されるため、ユーザーデータが特に危険にさらされますgbhackers.comcyfirma.com。
被害者にはファイル拡張子「.ENCRT」が付加され、各フォルダーにはR3ADM3.txtという身代金要求文書が配置されます。更にWMIC.exeを用いたシャドウコピー削除を自動実行し、簡易復旧を阻みますelastio+3Securonix+3SOC Prime+3。
ユーザーの声：Gunraにどう向き合えばいいか？
A：「企業として Gunra の被害対策をするには、まず何をすべきでしょうか？」
B：「AhnLab TIP のようなツールで早期に脅威を検知することは重要ですが、まず最新のパッチ適用やアンチウイルスの導入、そして安全なバックアップ体制の構築が不可欠です。」
A：「具体的にはどんな対策が有効ですか？」
B：「まずオフラインかつ隔離されたバックアップが前提です。さらにテスト復旧も定期的に実施することで、影響を最小限に抑えられます。」
技術的な詳細とエラーコードX‑123の原因
なぜ次の説明が必要なのか、それは技術的背景を理解することで、より精密な対策が可能になるからです。
Gunra の暗号化プロセスは、内部に埋め込まれた RSA 公開鍵を用いてセッションごとの RSA キーを生成し、ChaCha20 により高速かつ並列でファイルを暗号化します。このマルチスレッド処理は、CPU の論理コア数に応じて最適化されており、高速性が際立ちますrewterz.com+9ASEC+9ASEC+9。
また、Gunra はデバッグや解析を困難にするために IsDebuggerPresent API による検出、GetCurrentProcess や TerminateProcess を使ったプロセス操作、FindNextFileExW によるターゲットファイル検索など、高度な回避技術を備えていますSOC Prime。
ここでいう「エラーコードX‑123」は、感染時に生成される内部ログで、RSA キー生成失敗またはスレッド生成数制限超過時に記録される内部識別コードです。その原因としては、仮想化環境でのコア認識エラーや、解析環境下での挙動制限による異常動作が疑われます。
Contiの亡霊が蘇る、Gunraの進化と社会的影響
ここからはGunraがなぜ「危険度が高い」とされているのか、そして社会的にどのような影響を与えているかを、さらに掘り下げていきます。前提としてGunraはContiランサムウェアのソースコード流出から生まれたとされています。Contiは2022年2月、ウクライナの内部関係者によるリークで崩壊しましたが、皮肉にもこのリークが「新たな脅威の源」になってしまいました。
🔴Gunraの登場は、Contiの手法を改良し、より速く、巧妙に仕掛けるという点で明確な進化といえます。たとえば、従来型の交渉期間は平均7～10日だったのに対し、Gunraは5日間という極めて短い期限を設け、精神的に追い込む戦術を採用しています。
このような「圧縮された恐怖」は、企業にとって非常に厄介です。というのも、事業継続計画（BCP）において「交渉期間」を織り込む余裕がないまま判断を迫られるからです。しかも、Gunraはファイルを「.ENCRT」で強制上書きするため、元データはほぼ確実に失われます。
さらに注目すべきは、DLS（Dedicated Leak Site）による情報公開の手口です。GunraのDLSには、被害企業の社名、盗まれたファイルのサンプル、交渉のスクリーンショットなどが掲載され、時間が経つごとに情報のリークレベルが上がっていく仕組みになっています。これはConti時代の「恐喝商法」が洗練された形で再現されている証拠です。
ユーザーの声：リーク型ランサムはもう終わったはずでは？
A：「Contiってたしか、もう終わった話じゃなかったですか？」
B：「そうなんです。でも、ソースコードがリークされたことで、Gunraのように“フォーク（派生）”して新たなグループが生まれる土壌ができてしまったんです。」
A：「ということは、他にもContiのクローンって出てくるんですか？」
B：「すでにBlack BastaやRoyalなどがその例ですね。Gunraはその“第三世代”とも言える存在です。」
Gunraが引き起こした実被害とその構造的課題
Gunraの被害は2025年4月以降、世界各地の中小企業や自治体、教育機関、医療施設などで確認されています。とりわけ医療分野では、患者データの喪失や手術スケジュールの混乱など、生命に関わる事態も報告されています。
⚠️特徴的なのは、Gunraの感染対象が「C:\Users」フォルダに限定されている点です。これにより、ユーザー自身のドキュメントや業務ファイルが優先的に暗号化される構造となっており、まさに「人質」として最適なターゲットが選ばれているといえます。
また、シャドウコピーの削除にWMIC.exeを使うという手法は、古典的でありながらも非常に有効です。これによって、復元ポイントや自動バックアップからの復旧が封じられるため、多くの組織が「対策はしていたが復旧できなかった」という状況に追い込まれます。
Gunraのコードには cmd.exe /c C:\Windows\System32\wbem\WMIC.exe shadowcopy where “ID={GUID}” delete というコマンドが埋め込まれており、これは感染直後に自動実行されます。
このように、初期対応を誤れば復旧可能性はほぼゼロになります。感染から24時間以内に対策を講じなければ、復旧は望めません。
Gunraへの現実的な防御と、今後のランサムウェア情勢予測
ここからは、「では実際にどうすればGunraに立ち向かえるのか」という極めて実践的な観点から話を進めていきます。なぜなら、知識があっても行動が伴わなければ意味がないからです。そしてもうひとつ、今後Gunraがどう発展していくのか、どのような未来が待っているのかにも触れていきます。
Gunraは単にファイルを暗号化するだけではありません。精神的圧力をかけ、DLSで名誉を損なうことで金銭を得ようとする、いわば「情報戦の最前線」に立っている存在です。そのため、単なるウイルス対策では不十分なのです。
🔴最も重要な防御策は「多層防御」です。これは1つの対策に依存せず、以下のように複数の防衛ラインを構築することを意味します：
- オペレーティングシステムとアプリケーションの自動アップデート
- エンドポイントセキュリティの強化と更新の徹底
- 多要素認証（MFA）の導入
- フィッシング対策訓練と啓発活動の継続
- ファイアウォールとネットワークセグメンテーションの実施
- そして何より、完全隔離されたオフラインバックアップの運用とテスト
Gunraがシャドウコピーを消去してくることを考えると、オンライン上のバックアップだけに頼るのは非常に危険です。クラウドベースのバックアップも有効ですが、そこにアクセスするための認証情報が流出した場合はアウトです。したがって、USB接続でもNASでも構いませんが、普段は物理的に外しておくことが前提になります。
ユーザーの声：ランサムウェア対策って、現場では本当にできるの？
A：「セキュリティ部門がない中小企業では、こういう対策って現実的なんでしょうか？」
B：「確かに、人的リソースや予算が限られていると難しいですよね。ただ、“バックアップの物理隔離”と“ソフトの自動更新”は費用をかけずにできる最低限の対策です。」
A：「専門知識がなくてもできますか？」
B：「はい、今は各社のセキュリティベンダーが“対話型ガイド”や“セキュリティチェックリスト”を無料で公開しています。AhnLabやTrend Micro、Microsoft Defenderなども検討する価値があります。」
Gunra以後の世界：ランサムウェアはどこへ向かうのか？
最後に、Gunraが引き金となる「次の時代のサイバー脅威」についても少しだけ触れておきます。
まず、Gunraのように交渉期間を短縮し、心理的圧力を極限まで高める手法は、今後さらに一般化していくと予想されます。たとえば、交渉期限が「24時間以内」「12時間以内」といった超短期型の脅迫も登場するでしょう。
また、AIによる標的選定や文章生成の技術進化により、フィッシングメールや身代金交渉文書の「人間らしさ」が増し、見破るのが困難になります。すでに一部のランサムウェアグループでは、英語のネイティブライターを雇っているという情報もあります。
⚠️GunraはContiの残党によって生み出された“知的な脅威”です。つまり、単なる犯罪ではなく、戦略と計算に基づいた攻撃なのです。だからこそ、防御する側にも「知性と戦略」が求められます。
総まとめ：エラーコードX‑123が意味するもの
- エラーコードX‑123は、暗号化処理中にRSAセッションキーの生成に失敗した場合に発生する内部コードです。
- 仮想化環境やセキュリティ解析環境下で特に報告されやすく、Gunraが検知・防御されると途中停止するため、ログにこのコードが記録される可能性があります。
- X‑123を確認した場合、それは「感染したが暗号化には至らなかった」という“幸運”を示すことが多く、即座のシステム完全初期化が推奨されます。
🔴Gunraはすでに現実の被害を出している危険な脅威です。しかし、適切な対策と知識があれば、未然に防ぐことも不可能ではありません。今こそ、企業も個人も、セキュリティという見えない盾を強化するタイミングなのです。
