Hackers Are Breaking Into FortiGate, FortiWeb and Palo Alto GlobalProtect Systems to Steal Passwords
2026/10/22 CyberSecurityNews — インターネットに公開されたファイアウォールや VPN システムが、認証情報の窃取と企業ネットワークへの継続的なアクセスを目的とする攻撃キャンペーンの標的となっている。この活動では、Fortinet の FortiGate と FortiWeb、Palo Alto Networks の GlobalProtect ポータルが狙われており、侵入後の攻撃者により、デバイスの設定情報に保存されたパスワードが収集され、それらの認証情報を悪用し、ネットワーク内部でのアクセス範囲を拡大する恐れがある。
このキャンペーンは、k0t と呼ばれる攻撃者に関連するものとされ、さまざまな業種や地域の組織が影響を受けていると、Group-IB と NyxLab が報告している。両社の調査では、ネットワーク機器の認証情報や LDAP レコードなどの、漏えいした認証情報や関連データが 7 万件以上確認された。ただし、研究者たちは、これらの認証情報がすべて実際の侵入に悪用されたことを示す数字ではないと注意を促している。
Group-IB のアナリストは NyxLab と協力して、このキャンペーンを特定し、2026年10月21日に公開されたレポートで攻撃手法について説明している。報告によると、攻撃者はインターネットに公開されたネットワーク機器を大量に検索し、ソフトウェア脆弱性の悪用や、推測しやすいパスワード侵害により侵入を試行している。この調査では、認証情報の窃取／継続的なリモートアクセスの痕跡／データ窃取の事例が確認された。
FortiGate／FortiWeb／Palo Alto GlobalProtect を狙う攻撃
インターネット上の公開資産を検索するサービスを悪用して、インターネットに接続された VPN ポータルやファイアウォールを特定した攻撃者は、システム上の脆弱性を調査して侵入を試みる。Group-IB によると、この活動は特定の業界に集中したものではなく、幅広い組織を対象としているが、インターネットに公開されている機器の数や設定状況に応じて、情報を収集される組織が決められる可能性がある。
FortiWeb に対する攻撃では、パス・トラバーサルの脆弱性 CVE-2025-64446 が標的となっていた。この脆弱性を悪用する未認証の攻撃者が、細工した Web リクエストを送信することで、管理コマンドを実行される恐れがある。Group-IB が確認したものには、新規の管理者アカウントを作成するための独自ツールもある。一方、この脆弱性の影響を受けない FortiGate では、インターネットに公開された FortiGate に対して、一般的なユーザー名とパスワードの組み合わせが試されていた。
なお、CVE-2025-64446 に関して Fortinet は、FortiWeb に影響するアクセス制御の不備に関する脆弱性として説明している。
.webp)
FortiGate に対する攻撃は、ファイアウォール自体の侵害に留まらない可能性がある。アクセスを取得した後の攻撃者は、デバイスの設定ファイルをダウンロードし、管理者アカウント／LDAP／Active Directory などに関連する認証情報を取得する恐れがある。
Group-IB によると、既知の暗号鍵を悪用することで、保存されていた一部の機密情報の復号が行われていた。そのため、設定ファイルが漏えいした可能性がある場合に、組織にとって必要なことは、単なる機器管理上の問題としてではなく、認証情報の漏えいの可能性があるセキュリティ・インシデントとして扱うことである。
このキャンペーンでは、Palo Alto Networks の GlobalProtect も標的となっていた。Group-IB が確認したのは、GlobalProtect のポータル／ゲートウェイに影響する認証バイパスの脆弱性 CVE-2026-0257 を、PAN-OS の特定の設定において悪用する試みである。この脆弱性により、許可されていない VPN 接続が可能になる恐れがある。管理者に対して推奨されるのは、Palo Alto Networks のアドバイザリに従って、脆弱性への対処に必要な修正手順を実施することである。
以前にも Cybersecurity News は、FortiWeb の脆弱性の悪用や、FortiWeb 向けエクスプロイトツールの公開について報じている。これらの報告は、FortiWeb の脆弱性に関する背景を提供するものである。その一方で、今回の調査で新たに示されたのは、ネットワーク境界の広範な機器を標的とするキャンペーンの一環として、一連の脆弱性が悪用されたことである。
侵入後の攻撃活動
ネットワークへの侵入後の攻撃者は、正規の管理ツールやセキュリティ・ツールを悪用して、システムの調査／追加の認証情報の取得／アクセス範囲の拡大を図る可能性がある。Group-IB が確認したものとしては、NetExec／Impacket／Mimikatz に加え、MeshCentral／Atera などのリモート管理ソフトウェアの悪用がある。これらのツールは、通常の IT 管理業務でも使用されるため、防御側が個々のイベントだけを確認している場合には、それらの悪用を識別することは難しい。
この調査において研究者たちは、MeshCentral サーバに関連する侵害済みデバイス 84 台を含む、28 の稼働中のデバイス・グループを確認したほか、リモートアクセス・ツールやコマンド・アンド・コントロール (C2) フレームワークの使用を示す痕跡も発見した。また、一部の事例では、Rclone を介したクラウド・ストレージへのデータ転送が発見された。
Group-IB は、一部の被害組織について、ランサムウェア・グループの情報漏えいサイトに情報が掲載されたと報告している。ただし、k0t と関連するランサムウェア・グループとの直接的な関係は確認されていない。
![k0t’s MeshCentral login page at mesh[.]buttruyen[.]com (Source - Group-IB)](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEi0cS2aXjY63TI-d_S3Es_Hc1N_YsCydCw00z_ROe5wr0x6eNb6eFwyOTR8zlGLDl5_zEX48smIPutK4ORAGBmWhaf5yvnJPNTt658owjzgJVr4pH9UE8EkT5CKOBOv55tD8y_ipmfRh2YJvu-ww65CGtUi9EB02mNVFKq32x8E3AaRGRLs3HgbOEVSBAc/s1600/k0t%E2%80%99s%20MeshCentral%20login%20page%20at%20mesh%5B.%5Dbuttruyen%5B.%5Dcom%20(Source%20-%20Group-IB).webp)
Cybersecurity News の過去の報道では、FortiGate の設定情報の窃取や、GlobalProtect の認証バイパスを狙う攻撃活動についても詳しく説明されている。これらの報告は、ネットワーク境界の機器が侵害された後のリスクを示している。したがって、最初の侵入に悪用された脆弱性が修正されても、すでに認証情報が盗まれていれば、それを悪用した不正アクセスが継続する可能性がある。
セキュリティチームにとって必要なことは、FortiGate／FortiWeb／GlobalProtect のインターネット公開の有無を確認した上で、修正プログラムの適用を検証するとともに、管理アクセスを信頼できるネットワークに限定することである。さらに、予期しない管理者アカウントの作成／設定ファイルのエクスポート／不審な VPN セッション／ログイン失敗の繰り返し／通常とは異なる場所からの管理アクセスといった、ログに現れる不審な兆候を調査する必要がある。
Palo Alto Networks のアドバイザリには CVE-2026-0257 の修正手順が掲載され、Fortinet のアドバイザリには CVE-2025-64446 に関する情報が記載されている。デバイスへの不正アクセスが疑われる場合に、セキュリティチームに求められるのは、関連するアカウントやシステムを調査し、アプライアンスに保存されている認証情報や、関連付けられている認証情報をローテーションすることである。さらに、VPN ログや ID と認証関連のログを確認して、侵入後に行われた可能性のある不審な活動を調査すべきである。
FortiGate の管理者は、組織が管理する暗号鍵を用いた、機密データの暗号化が有効になっているかどうかも確認する必要がある。侵害を示す痕跡が見つからない場合であっても、デバイスやネットワークが安全であるとは限らない。そのため、防御側にとって重要なことは、アプライアンス／VPN／ID と認証基盤／エンドポイント・ログなどを、相互に照合して分析することになる。
侵害の痕跡 (IoC)
| Type | Indicator |
|---|---|
| Domain | mesh[.]buttruyen[.]com |
| IP address | 62[.]60[.]131[.]43 |
| Domain | meshcentral[.]girydsfsggvb[.]com |
| IP address | 62[.]60[.]135[.]64 |
| URL | hxxps://agent[.]afahimsa[.]top/meshagents?id=4&meshid=DSZSDHzU1YSP83eNnHzSUfPPt5MFUC3UadztK7UJWbWttVfTo$auq8StiVu0p6ND&in |
| URL | hxxp://193[.]149[.]187[.]81:1287/1.exe |
| IP address | 64.94.85.14 |
| IP address | 168.100.11.99 |
| URL | hxxp://162[.]33[.]178[.]213:8888/clear-thinking_61.92.4_INSTALL.exe |
| URL | hxxps://sthyjk[.]com:8443/clear-thinking_61.92.4_INSTALL.exe |
| IP address | 162[.]33[.]179[.]249 |
| IP address | 193[.]24[.]123[.]162 |
| IP address | 193[.]149[.]176[.]50 |
| Domain | radesashar[.]com |
| IP address | 193[.]169[.]194[.]21 |
| Hash type | Hash |
|---|---|
| MD5 | 5318f29ef434341d989d543b14fd2a48 |
| SHA-1 | 6546801898d0b32f5050f49c5302f0366d630cc9 |
| SHA-256 | 158215c7371e868f3d0c7fd2e92f05026a8678a3635629d89bd6042ee543278a |
| MD5 | 20dc8f1b8a313336c14e03bcb71ff6c8 |
| SHA-1 | e2c96e603323d8fc7c08678b793d56554faa6914 |
| SHA-256 | 1d1b76d30a69aa39b224053481483156f82dde026edd6f5d964f6e03f5f04a6d |
| MD5 | 032473db4d66748eab524effe57a661d |
| SHA-1 | b686a811ad89671fbdb448d65f79488d2e562265 |
| SHA-256 | 4db6bea4c1e4bce5020039def4087a073f4753a6b297b2832c19c10423ac842d |
| MD5 | 13367fbba4344de87de418ab17de76f0 |
| SHA-1 | f05daaf66b200672d679a5ced8b67d4b48a4906e |
| SHA-256 | 552d0096f60c36a35c6096b3e4b38d743c29f8c56f3862fa3b7ef06c932e2a21 |
| MD5 | 197f2621c80da7974c56d2ff1921e994 |
| SHA-1 | e47a2b7ca6a8c009962871dbb667d128ad6b6162 |
| SHA-256 | f9e95af4cda14dd5596c452a1a698f60412a7b2a9540321ee2a10b3bcbbd2a0e |
| MD5 | 6f5d18157425aa9697913ae1310f588f |
| SHA-1 | bfd864ec0e6bd912f932e4f3ed80687736ee16e8 |
| SHA-256 | 39c4decc4881ec02a47cd01c0fd8c3030527b466124ad03c6f99cfaa0ba0b72e |
| MD5 | 0dc1af7cfd336a7f075228defc730082 |
| SHA-1 | b39cf70a0194d32e00d7812c29ae1d6add77b823 |
| SHA-256 | 808145ec3351569083fda27a910ebdf9e054e8ca42e40c021af5d6712c2ab87c |
注: IP アドレスとドメインは、意図しない名前解決やリンク化を防ぐため、[.] などを用いて意図的に無効化 (デファング) されている。有効な形式への復元 (リファング) は、MISP、VirusTotal、SIEM など、管理された脅威インテリジェンス環境内でのみ実施すること。
この記事では、FortiGate／FortiWeb／Palo Alto GlobalProtectなどの境界防御デバイスを狙う一連の攻撃キャンペーンが紹介されています。インターネットに公開されたシステムに対する脆弱性の悪用やパスワードの推測を通じて、攻撃者は侵入を果たし、設定ファイルから認証情報を窃取してネットワーク内でのアクセス範囲を拡大しようとしています。このような侵害が発生すると、窃取された情報を用いた不正アクセスの継続やさらなる被害につながるおそれがあります。そのため、デバイスのインターネット公開状況の見直し、修正プログラムの適用、アクセス制御の制限、不審なログの監視、さらに必要に応じた認証情報の更新などの対策を実施することが求められます。
You must be logged in to post a comment.