Gunra 랜섬웨어, Fortinet·Schneider Electric 취약점 악용
Fortinet·Schneider Electric 취약점 악용한 Gunra 랜섬웨어 확산
- 한국·미국 사이버 당국은 Gunra 랜섬웨어가 Schneider Electric PowerLogic P5의 CVE-2024-5559와 Fortinet FortiOS·FortiProxy의 CVE-2025-24472를 악용해 침투하고 있다고 경고했으며, 의료·금융·정부 시설을 겨냥한 연쇄 침해 양상으로 보고 있다.
- 공격자는 인터넷에 노출된 장비로 초기 접근을 얻은 뒤 데이터 유출과 암호화를 결합한 이중 갈취 방식으로 전개하고, 5~7일 내 몸값을 내지 않으면 유출 사이트에 공개하므로 복구와 협상 부담을 동시에 키운다.
- FBI와 CISA는 Gunra가 Golden Community 같은 별칭을 쓰며 피싱, WhatsApp형 협상 패널, Impacket의 psexec.py·secretsdump.py를 함께 활용한다고 봤고, 로그 삭제와 야간 활동으로 추적 회피까지 정교화하고 있다.
- Ransomware.Live 기준 Gunra는 2025년 4월 등장 이후 51건의 피해를 올렸고, 그중 다수가 한국·브라질·스페인·태국·홍콩에 집중됐으며 캐나다와 미국은 3건에 그쳐 아시아·유럽 편중이 뚜렷하다.
- 이번 사례는 2025~2026년의 금융보안 소프트웨어 취약점 악용, AnySign4PC 제로데이, Struggle·Brandoor 유포와도 맞물려 국가배후형 공격과 랜섬웨어가 도구와 인프라를 공유할 수 있음을 보여준다.
- 한국 정책은 Fortinet·Schneider Electric 같은 원격 노출 장비의 패치 강제, MFA 우회 징후 탐지, VDI·OneDrive·SharePoint 반출 통제, 중소 핵심기관의 복구훈련을 우선해야 하며, 이는 공공 의존형 보안산업을 탐지·복구 중심 시장으로 전환할 기회다.
원격 노출 장비와 VDI를 우선 점검하고, 패치 지연 기관에는 강제 보고와 차단을 적용해야 한다. 금융·공공·의료망의 유출 징후를 통합 관제하면 피해 확산을 줄일 수 있다.
주요 용어: 이중 갈취(데이터를 훔친 뒤 암호화해 금전을 요구하는 방식), MFA(다중 인증), VDI(가상 데스크톱 인프라), RaaS(서비스형 랜섬웨어)
출처: The Hacker News
