根據 The Hacker News 的報導，美國網路安全與基礎設施安全局（CISA）以及南韓的情報機構近期發出警告，一種名為 Gunra 的勒索軟體正針對全球的關鍵基礎設施發起攻擊。受影響的目標涵蓋醫療衛生、金融服務、政府機關以及非營利專業服務等核心領域。Gunra 並非單純的加密軟體，而是一個採取雙重勒索模型（Double Extortion）的威脅組織，即在加密檔案之前先竊取敏感數據，若受害者拒絕在五到七天內支付贖金，攻擊者便會將資料公開於洩漏網站。
攻擊路徑與初始進入點
Gunra 組織在滲透企業網路時，主要利用面向網際網路的設備漏洞來獲取初始存取權限。目前已確認的關鍵漏洞包括 Schneider Electric PowerLogic P5 的 CVE-2024-5559，以及 Fortinet FortiOS 和 FortiProxy 的 CVE-2025-24472。除了漏洞利用，該組織也頻繁使用社交工程手段，透過釣魚郵件將惡意程式傳送到目標系統，並利用一個模仿 WhatsApp 介面的聊天面板與受害者進行贖金協商。
在技術能力上，Gunra 展現了極高效率的加密速度。該組織採用 Salsa20 或 ChaCha20 等先進的串流加密演算法（Stream Cipher），能夠在極短時間內加密高達 9TB 的大型檔案。此外，Gunra 在 2026 年 1 月正式推出了勒索軟體即服務（RaaS, Ransomware as a Service）計畫，在暗網招募附屬成員，提供可配置的勒索軟體建構器與跨平台載荷（Payload），使其攻擊規模迅速擴張。
內網橫移與權限提升技術
一旦進入網路，Gunra 會利用 Impacket 函式庫中的 psexec.py 和 smbclient.py 工具，透過伺服器訊息塊（SMB, Server Message Block）協定在內網進行橫移。接著，他們會使用 secretsdump.py 工具對受感染的網域控制站（Domain Controller）進行憑據傾印（Credential Dumping），從 NT Directory Services（NTDS）檔案中提取使用者帳號的密碼雜湊值。
為了規避偵測，該組織通常在晚上 10 點至凌晨 6 點之間進行偵察與惡意活動，並在完成操作後刪除系統存取日誌與命令歷史記錄。在數據外洩階段，他們使用名為 main.exe 的執行檔從 Microsoft OneDrive 和 SharePoint 提取資料，或將數 TB 的數據壓縮後上傳至 MEGA 雲端儲存服務。
特別值得關注的是，Gunra 會針對 IT 人員的虛擬桌面基礎設施（VDI）進行攻擊，竊取包含系統與網路配置的敏感文件。在南韓警方發現的一個案例中，攻擊者甚至操縱 SSL-VPN 設備的流量控制功能，攔截使用者登入 VDI 門戶時的認證資訊與會話 Cookie，進而實行會話劫持（Session Hijacking）以冒充合法使用者。為了繞過多因素認證（MFA），他們會篡改 VDI 伺服器的認證處理檔案，使得輸入特定預設值即可通過驗證。
潛在的國家級背景與合作關係
雖然 Gunra 的具體來源尚未完全確定，但安全廠商 AhnLab 指出，Gunra 的攻擊手法與北韓國家級駭客組織 Lazarus Group 之間存在顯著的共用特徵。在某些案例中，Gunra 被發現利用與 Lazarus 相關的漏洞（如 AnySign4PC 的零日漏洞）來分發 Struggle 或 Brandoor 等惡意軟體。
這種國家級組織與犯罪組織合作的模式在近年日益增加。例如，Palo Alto Networks 曾觀察到 Lazarus 的分支 Andariel 與 Play 勒索軟體團隊合作。這顯示出國家級威脅者可能將勒索軟體作為獲利手段或掩蓋其間諜活動的煙霧彈，透過共享工具、技術與基礎設施來提升攻擊成功率。
實務影響與防禦限制
Gunra 的威脅在於其對工業控制系統設備（如 Schneider Electric）與邊緣安全設備（如 Fortinet）的精準打擊，這使得傳統的端點防護難以在第一時間攔截。此外，該組織會主動刪除主數據中心與災難恢復中心的備份資料，試圖徹底切斷受害者的恢復路徑。
針對此類威脅，企業應採取以下防禦措施：首先，必須優先修補所有面向網際網路設備的已知漏洞，並確保韌體與作業系統維持最新版本。其次，實施嚴格的網路分段（Network Segmentation），防止攻擊者在獲取單一設備權限後輕易橫移至核心伺服器。最後，建立不可篡改（Immutable）且物理隔離的備份機制，確保在備份伺服器被攻破的情況下，仍有最後一份乾淨的資料可用於還原。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。