16,000超のFortinetデバイスがシンボリックリンクバックドアに感染

nosa

2025.04.17

16,000超のFortinetデバイスがシンボリックリンクバックドアに感染

BleepingComputer – April 16, 2025

脅威監視プラットフォームShadowserver Foundationのレポートにより、インターネットに露出している16,000台以上のFortinetデバイスが新たなシンボリックリンクバックドアに感染していることがわかった。

このバックドアは過去に侵害されたデバイス上の機微ファイルへの読み取り専用アクセスを実現するもので、当初は14,000台のデバイスが感染したと報告されていたが、16日の時点では16,620台に増えている。Fortinetも先週、パッチ適用済みのFortiGateデバイスへのリモートアクセス維持に使われたメカニズムを新たに発見したと警告していた。

関連記事：ハッカーが古いFortiGateの脆弱性を悪用、シンボリックリンクを使って修正済みデバイスに限定アクセスを維持（CVE-2022-42475、CVE-2023-27997、CVE-2024-21762）

同社によると、これは新たな脆弱性を悪用したものではなく、2023年から2024年にかけて続いた攻撃に関連しているとみられ、その攻撃ではゼロデイ脆弱性が悪用されてFortiOSデバイスを侵害していた。攻撃者はアクセスに成功すると、SSL-VPN対応デバイスの言語ファイルフォルダにルートファイルシステムへのシンボリックリンクを作成。SSL-VPN対応のFortiGateデバイスでは言語ファイルが公開されているため、最初の脆弱性が修正された後でも前述のフォルダを参照し、ルートファイルシステムの読み取りが永続的に可能になると説明された。

Fortinetは顧客に対してメールでの通知を開始すると共に、感染したデバイスから有害なシンボリックリンクを検出・削除するAV／IPSシグネチャの更新版をリリースし、ファームウェアの最新バージョンにも同じ機能を追加したという。さらに今回のアップデートにより、内蔵Webサーバーによる未知のファイルやフォルダの提供も防止できるようだ。