脅威アクターが、FortiOSおよびFortiSwitchManagerのcw_acdデーモンに存在する重大なヒープベースのバッファオーバーフロー脆弱性CVE-2025-25249を積極的に悪用し、インターネットに露出したFortiGateファイアウォールを侵害してリモートアクセス型トロイの木馬(RAT)「PivotC2」を展開していることが分かりました。
SOCRadar Threat Research Unit(STRU)は、遅くとも2026年7月には悪用が始まっており、現在も継続中であると高い確度で評価しています。
この攻撃キャンペーンは3万件を超えるFortiGateのIPアドレスを標的にしたとされ、確認されているPivotC2の感染件数は178件に上ります。影響を受けたシステムが最も集中しているのは米国です。
CVE-2025-25249はCVSS v3スコア9.8を記録しており、UDPポート5246宛てに細工されたCAPWAPトラフィックを送信することで、認証を経ずにリモートコード実行が可能になります。Fortinetのアプライアンスは、無線アクセスポイントの一元管理にCAPWAPを使用しています。
脆弱なcw_acdプロセスは、バージョン7.6.0から7.6.3、7.4.0から7.4.8、7.2.0から7.2.11、7.0.0から7.0.17、およびFortiOS 6.4系の全バージョンを含む、影響を受けるFortiOSリリースに存在します。FortiSwitchManagerのバージョン7.2.0から7.2.6、および7.0.0から7.0.5も影響を受けます。
攻撃者は自己解凍型のLinux用エクスプロイトバイナリfortirun.binを、BashおよびPythonの自動化スクリプトとともに使用しています。
このツールは標的のファームウェアとハードウェア構成をフィンガープリンティングし、CAPWAPのディスカバリー応答を悪用してASLR保護を無効化したうえで、デーモンのヒープを操作し、リンクリストのポインタを破壊することで任意の書き込みを可能にするプリミティブを獲得します。
続いて実行フローを乗っ取り、Node.jsのリバースシェルを起動します。最初のJavaScriptステージャーが第2段階のペイロードをダウンロード・復号し、PivotC2を/tmp/.i.jsとして保存したうえで、バックグラウンドで実行します。
このマルウェアはコマンド&コントロール(C2)基盤への送信方向のTLS接続を維持することで、受信方向のファイアウォール制限を回避します。
PivotC2はFortiGateの侵害後の活動に特化して作られています。その機能には、対話型シェルアクセス、コマンド実行、ファイルのアップロード・ダウンロード、CIDR範囲のポートスキャン、SOCKS5・HTTPプロキシ、ローカルおよびリモートのポートフォワーディングが含まれます。
独自のバイナリフレーミングプロトコルにより、1つのTLSセッション上で複数のSSHライクなチャネルを多重化し、侵害された境界アプライアンスを経由して内部ネットワークへトンネリングすることを可能にしています。
とりわけ懸念されるのは、このRATがFortiGateの設定ファイルを収集し、保存されている認証情報を復号できる点です。標的となるファイルには、グローバル設定、VDOM設定のアーカイブ、そしてデバイス固有の暗号鍵情報を含むfsv_sync.datが含まれます。
Socradarによると、復号されたデータには管理者の認証情報、SSL-VPNアカウント、LDAPバインド認証情報、無線の事前共有鍵、IPsec VPNのシークレットが含まれる可能性があるとしています。
PivotC2には--autoモードが搭載されており、設定データの収集、認証情報の抽出、内部インターフェースの特定を自動で行うほか、発見したサブネットに対してSSH、LDAP、SMB、RDP、Microsoft SQL Server、PostgreSQLなどのサービスをスキャンします。
研究者らは、米国の組織を標的とした完全な侵入事例を2件確認したとしています。攻撃者はActive Directoryの列挙、ブラウザに保存された認証情報の窃取、リバースSSHリレー、RDP設定の変更、S3を利用した外部への持ち出しツールを使用したとされています。
ロシア語のコメントや金銭目的の手口から、ロシア語話者によるサイバー犯罪グループの関与が示唆されています。
組織は、FortiOSを7.6.4、7.4.9、7.2.12、または7.0.18以降に、FortiSwitchManagerを7.2.7または7.0.6以降にアップグレードする必要があります。
また管理者は、外部インターフェース上でのCAPWAPの露出を制限し、システム内に/tmp/.i.jsや不審なNode.jsプロセスがないか確認するとともに、既知のC2基盤への送信セッションを調査することが求められます。
1万6千を超える組織から得られる最新のインテリジェンスで、脅威検知率を58%向上。TIフィードを統合する、貴社のSOCへ
翻訳元: https://cyberpress.org/critical-fortigate-flaw-exploited/
