脅威アクターが、FortiGateの深刻な脆弱性を積極的に悪用し、FortiOSアプライアンスに対する永続的な侵入後活動を目的としたNode.jsベースのリモートアクセス型トロイの木馬（RAT）「PivotC2」を展開しています。
脆弱性発見サービス
SOCRadarの脅威リサーチユニット（STRU）の研究者らによると、この攻撃キャンペーンはインターネットに公開されている30,000台超のFortiGate IPアドレスを標的とし、2026年7月以降、少なくとも178台のデバイスの侵害に成功しているとのことです。
攻撃者が悪用しているのはCVE-2025-25249で、FortiOSおよびFortiSwitchManagerで使用されているcw_acdデーモンに存在する深刻なヒープベースのバッファオーバーフロー脆弱性です。
この脆弱性のCVSSスコアは9.8で、認証されていないリモートの攻撃者が、UDPポート5246宛てに細工したCAPWAPリクエストを送信するだけで任意のコードを実行できてしまいます。
深刻なFortiGateの脆弱性
SOCRadarの調査によると、攻撃者はfortirun.binと名付けられたエクスプロイトバイナリを、BashおよびPythonの自動化スクリプトと組み合わせて使用し、脆弱なデバイスを繰り返し標的にしています。エクスプロイトが成功すると、リバースシェルが確立され、Base64でエンコードされたJavaScriptのステージャーがNode.js経由で実行される仕組みです。
最初のステージャーは、hxxps://146[.]103[.]99[.]177:8443/0c5b76709523から第二段階のペイロードをダウンロードし、デコードしたうえで、キー「pivot」を使ってXOR復号します。復号されたJavaScriptインプラントは/tmp/.i.jsに書き込まれ、バックグラウンドプロセスとして起動されるため、親のNode.jsプロセスが終了しても動作を継続できます。
PivotC2は、侵害されたFortiGateファイアウォール専用に設計されています。攻撃者が制御するインフラへアウトバウンドのTLS接続を確立し、単一の接続上で複数のSSHライクなチャネルを多重化するコンパクトなバイナリプロトコルを使用します。
このRATを使えば、攻撃者はインタラクティブシェルの取得、コマンドの実行、ファイルのアップロード・ダウンロード、SOCKS5およびHTTPプロキシの実行、ローカル・リモートのポートフォワーディングの有効化、DNSルックアップ、プロセスの探索、CIDRベースのネットワークスキャンなどが可能になります。そのトンネリング機能により、エッジファイアウォールを踏み台として悪用し、本来アクセスできないはずの内部ネットワークに侵入することもできます。
特に懸念されるのが、自動化された設定情報収集機能です。PivotC2は、グローバル設定、ネットワークインターフェース情報、仮想ドメイン設定、さらにはデバイス固有のfsv_sync.datシークレットファイルを含む、FortiGateの設定ファイルを収集できます。
報告によれば、このマルウェアのツール群は保存されているFortiGateの認証情報を復号でき、VPNの事前共有鍵、SSL-VPNの認証情報、無線パスワード、LDAPバインドシークレット、管理者アカウントなどを露出させることが可能です。
研究者らはまた、感染したFortiGateがC2サーバーに接続すると、認証情報の収集、ネットワーク情報の抽出、発見された内部サブネットのスキャンを自動的に実行する「–auto」モードの存在も確認しています。
復元されたコード内のコメントや操作手順を見ると、開発者がRATの開発や侵入活動の高速化のためにAIツールを利用した可能性がうかがえます。
STRUは、この攻撃活動がロシア語圏の金銭目的サイバー犯罪グループと関連している可能性が高いと評価しています。
調査担当者は、ロシア語のコメント、Active Directoryの列挙の痕跡、ブラウザ認証情報の窃取、RDPの有効化、リバースSSHリレー、Torベースのプロキシ利用、そしてMicrosoft Exchangeの.pstメールボックスファイルを攻撃者が管理するWasabi S3ストレージへ流出させる行為を確認しています。
米国を拠点とする2つの組織が、ネットワーク全体への侵入とデータ窃取の被害に遭ったことを確認しています。PivotC2の感染件数が最も多く報告されているのは米国で、それに続いてチリ、コロンビア、英国となっています。
コンピュータサイエンス
組織は直ちに、影響を受けるシステムをFortiOS 7.6.4、7.4.9、7.2.12、7.0.18、またはそれ以降のバージョンにアップグレードする必要があります。FortiSwitchManagerを利用しているユーザーは、バージョン7.2.7または7.0.6以降に更新してください。
防御側は、インターネットに面したインターフェースでfabricサービスを無効化するか、local-inポリシーでポート5246〜5249宛てのインバウンドUDPトラフィックをブロックすることで、CAPWAPの露出を制限すべきです。インシデント対応担当者は、146.103.99.177および46.151.29.58へのアウトバウンドセッションを調査し、/tmp/ディレクトリ内に.i.jsファイルがないか確認し、実行中のNode.jsプロセスを点検する必要があります。
PivotC2の痕跡が見つかった場合は、FortiGateの設定情報が既に漏えいしたものとみなし、アプライアンス自体、VPN、LDAP、無線、IPSecに関連するすべての認証情報を速やかにローテーションしてください。
活発化するマルウェアやフィッシングの発生から24時間以内にSOCを最新の状態に保ちましょう。 ANYRUNを試して早期検知でインシデントを未然に防ぎましょう。
翻訳元: https://gbhackers.com/hackers-exploit-critical-fortigate-flaw/
