BRICKSTORMバックドアを用いた国家関連キャンペーンに結び付くF5 BIG-IPソースコード漏えい

概要

中国に関連する脅威クラスターUNC5221が、F5 BIG-IPを導入している組織を積極的に標的にしています。これは、国家主体の攻撃者がBIG-IPのソースコードの一部や脆弱性情報を含む社内開発データを盗み出した、F5に対する確認済みの侵害を受けた後の動きです。2025年10月15日、CISAは緊急指令 ED-26-01を発出し、連邦ネットワークに対する差し迫った脅威を警告するとともに、影響を受けるF5デバイスの緊急の棚卸し、ハードニング、パッチ適用を命じました。盗まれたコードにより、インターネットに露出した管理サービスに対する0-dayの迅速な発見と武器化のリスクが高まります。

F5は、8月9日に自社システム上で攻撃者を発見し、Bloombergが報じたように、ハッカーが同社ネットワーク内に少なくとも12か月 滞在していたことを顧客に通知したと明らかにしました。この発表は、継続中の法執行上の考慮により、米司法省の承認を受けてForm 8-KのItem 1.05(c)に基づきF5が侵害の公表を遅らせることを認められていたことを受けたものです。

技術的詳細

ResecurityはBRICKSTORMバックドアの分析を最初に公開し、中国の脅威アクターの関与に関する追加情報を提供しています。 当社の調査では、チームがUNC5221のアプライアンスに特化した手口に関連する複数のアーティファクトを収集しました。証拠として保全された中で最も関連性の高い項目は次のとおりです。

• BRICKSTORMファミリーと整合する静的リンクされたGo製ELFバックドア
• エッジデバイス上でバックドアをステージングし永続化するために使用される小規模な展開スクリプト。
• 同一のアクターセットが足場確保後に認証情報を収集するために使用したサーブレットフィルターのWebコンポーネント。

以下の分析は、これらのアーティファクトの静的／動的レビューに基づいています。

このバックドアは、ユーザーランドが限定されたアプライアンス向けにパッケージ化された自己完結型で依存関係のない実行ファイル（Go、linux/amd64）であり、完全なWebトランスポート（TLSクライアント、HTTP/1.1/HTTP/2パス、WebSocketのアップグレード／セッション処理）を内蔵しています。さらに、1つのソケット上で多数の論理ストリームを多重化するためのYamux、TCPピボットのためのSOCKS機構、Webらしく見せるファイルのステージング／持ち出しのための完全なmultipart/form-dataスタックも備えています。

YamuxはGolang向けの多重化ライブラリです。TCPやUnixドメインソケットなど、信頼性と順序性を提供する基盤となる接続に依存し、ストリーム指向の多重化を提供します。

YamuxはSPDYに着想を得ています。SPDYはWeb性能を改善するための実験的プロトコルとして、Googleにより2009年後半に導入されました。しかし、SPDYは2016年初頭に正式に非推奨となりました。

この攻撃では、攻撃者はエクスプロイトを使用し、コード実行を得た後にBIG-IPデバイス上へELFファイルを配置します。次に、HTTP/2をネゴシエートし、永続的なC2トンネルのために接続をWebSocketへアップグレードするアウトバウンドのTLSを確立するよう設定し、オペレーターが指定したC2パラメータで起動して、Yamuxにより単一ソケット上で同時ストリームを多重化します。

そのセッション内でアクターは、アプライアンスの管理IPから内部アプリケーションへ到達するためのSOCKS風プロキシを有効化し、multipart/form-dataにbase64/quoted-printableと圧縮を組み合わせて同一チャネル上でデータを移動させ、持ち出しが通常のWebトラフィックに見えるようにします。

ELFファイル内にハードコードされたドメインや認証情報が存在しないことが確認されており、攻撃者はおそらくゼロデイを用いてアクセスを獲得し、問題なく標的へコールバックできることを示唆しています。

攻撃者が（0-dayまたは保護の弱いサービス経由で）コード実行を得ると、BRICKSTORMはBIG-IPを、ログが最小限で長期潜伏が可能なステルスな外向き通信ポイントおよび内部プロキシへと変えることができます。

起源

当社の分析では、攻撃者が公開リポジトリを活用していることが判明しました。コードベースの一部は、中国で管理されているリポジトリに由来しているように見受けられます。これらのリポジトリ内の一部プロジェクトは、ユーザーのシステムを攻撃する目的で悪意をもって設計されています。

更新（2025年12月19日）：

MITRE ATT&CK 技術

今すぐパッチ適用

F5は、BIG-IP（全モジュール）、F5OS（A/C）、BIG-IP Next（SPK/CNF）にまたがる20件超の脆弱性を開示しており、その中にはインターネットに露出した管理サービスのリモート悪用を可能にし得る問題が複数含まれています。上記に列挙された影響を受けるバージョンを運用している場合は、緊急事態として扱ってください。管理プレーンの公開を停止し、外向き通信を制限し、ベンダーの最新の修正版リリースへ直ちにアップグレードしてください。パッチ適用後は、デバイスが影響を受けるバージョン範囲に該当しないことを確認し、必要なサービスのみを再有効化し、アプライアンスのサブネットからの異常なHTTP/2/WebSocket外向き通信を監視してください。

侵害指標（IOCs）

SHA-256: aa688682d44f0c6b0ed7f30b981a609100107f2d414a3a6e5808671b112d1878
ファイル名: Vmprotect
分類: BRICKSTORM（Go ELFバックドア）
注記: VMProtectバージョン