RondoDoxボットネットIoT攻撃キャンペーン
サイバーセキュリティアナリストは、約9ヶ月間にわたり、IoT（モノのインターネット）デバイスとウェブアプリケーションを標的とした、非常に執拗な攻撃キャンペーンを発見しました。この攻撃の目的は、脆弱なシステムを「RondoDox」と呼ばれるボットネットに組み込むことであり、攻撃者の忍耐力と運用の成熟度の高さを物語っています。
目次
React2Shell: 重要なエントリポイント
2025年12月現在、研究者らは、React2Shell（CVE-2025-55182）を主な初期アクセスメカニズムとして悪用するキャンペーンを確認しています。CVSSスコア10.0のこの重大な脆弱性は、React Server Components（RSC）とNext.jsの実装に影響を及ぼします。パッチが適用されていない場合、認証されていないリモートコード実行が可能になり、攻撃者が脆弱なシステムを事実上完全に制御できるようになります。
大規模な露出：世界的な影響
2025年12月下旬までに収集されたテレメトリによると、世界中で約90,300の脆弱なインスタンスが依然として無防備状態にあります。その大部分は米国にあり、約68,400のシステムを占めています。その他、ドイツ（約4,300）、フランス（2,800）、インド（1,500）など、大きな影響を受けている地域もあり、この問題が世界中に広がっていることを浮き彫りにしています。
RondoDoxがエクスプロイトアーセナルを進化させる
RondoDoxは2025年初頭に初めて確認されて以来、エクスプロイトツールキットに新たなNデイ脆弱性を組み込むことで、着実に機能を拡張してきました。これらの脆弱性には、CVE-2023-1389とCVE-2025-24893が含まれます。以前の報告では、このボットネットがReact2Shellを使用していることが既に警告されており、新たに発見された脆弱性が急速に武器化される傾向が浮き彫りになっています。
エスカレーションの3つのフェーズ
CVE-2025-55182 を武器化する前に、RondoDox キャンペーンは構造化されたエスカレーション サイクルを経て進行しました。
2025 年 3 月～4 月: 手動による脆弱性の発見とテストを組み合わせた集中的な偵察。
2025 年 4 月～ 6 月: WordPress、Drupal、Struts2 などの一般的な Web プラットフォームと、Wavlink ルーターなどの IoT ハードウェアを毎日大規模に調査します。
2025 年 7 月～12 月初旬: 最大限の到達範囲と持続性を実現するために設計された、完全に自動化された 1 時間ごとの展開。
12月の攻撃：ペイロードと持続性
2025年12月に観測された活動において、脅威アクターは公開されているNext.jsサーバーをスキャンし、複数の悪意あるコンポーネントの展開を試みていました。これらには、暗号通貨マイナー、ボットネットローダーおよびヘルスチェックユーティリティ、そしてx86システム向けにカスタマイズされたMiraiベースのボットネット亜種が含まれていました。
主要コンポーネントである「/nuts/bolts」は、攻撃者にとって防御的な役割を果たします。このコンポーネントは、競合するマルウェアや仮想通貨マイナーを体系的に終了させ、その後、コマンドアンドコントロール（C2）インフラストラクチャから主要なボットバイナリを取得します。確認された亜種の1つは、競合ボットネットの痕跡、Dockerベースのペイロード、以前のキャンペーンの残骸、関連するcronジョブを削除することで、感染ホストを積極的にクリーンアップすると同時に、/etc/crontabを改変することで永続性を確立します。
このマルウェアは、/procファイルシステムを継続的にスキャンしてアクティブな実行ファイルを識別し、ホワイトリストに登録されていないプロセスを約45秒ごとに終了させることで、さらに排他性を強化します。この動作により、他の脅威アクターによる再感染の試みを効果的に阻止します。
リスクの軽減と露出の制限
RondoDox による脅威に対抗するには、セキュリティ チームは階層化された防御戦略を採用する必要があります。
- Next.js のデプロイメントを、CVE-2025-55182 に対処するパッチが完全に適用されたバージョンに速やかにアップグレードしてください。
- 横方向の移動を制限するために、IoT デバイスを専用 VLAN 内に分離します。
- Web アプリケーション ファイアウォール (WAF) を実装し、異常なプロセス実行を継続的に監視します。
- ボットネットに関連する既知のコマンド アンド コントロール インフラストラクチャを積極的にブロックします。
これらの対策を組み合わせることで、侵害の可能性が大幅に低減し、進行中のボットネット活動の影響を抑えるのに役立ちます。
