PEERSTITCH と呼ばれる新しいインプラントは、ネットワークを守る機器自体が攻撃者の隠れ家になり得ることを思い起こさせる。この発見に関する報道によると、PEERSTITCH はメモリ常駐型の ARM64 インプラントであり、通信系マネージドサービスプロバイダー（MSP）への長期にわたる侵入の際に FortiGate ファイアウォールに対して展開された。この事例は、PEERSTITCH FortiGate メモリ常駐型マルウェアが、大規模プロバイダーから小規模オフィスまで、ファイアウォールやルーターを運用するすべての人にとって懸念事項である理由を示している。

公開されている詳細は限られているため、本記事は報道された内容にとどめ、それ以外については推測を避ける。

PEERSTITCH が通信プロバイダーのネットワーク内で行ったこと

核心的な事実は簡潔である。PEERSTITCH は FortiGate ファイアウォールに対して使用され、ARM64 プロセッサ向けに構築されたメモリ常駐型インプラントとして動作した。この活動は、通信系マネージドサービスプロバイダーへの長期にわたる侵入の一部であった。

ここで重要な点が二つある。第一に、標的はマネージドサービスプロバイダーであった。MSP は他の組織に代わってインフラを運用しているため、一社への足がかりはその組織の壁をはるかに超えて価値を持つ可能性がある。第二に、侵入は長期にわたると表現されており、これは叩き壊して奪うのではなく、静かに居座ることを望んだ攻撃者を示唆している。

報道元の資料では、攻撃者が最初にどのように侵入したのか、またそのアクセスで何を行ったのかは明記されておらず、本記事はいずれについても推測しない。

ファイアウォール上のメモリ常駐型マルウェアが検知しにくい理由

ほとんどの人はマルウェアをディスク上に存在するファイルとして想像する。メモリ常駐型マルウェアは異なる仕組みで動作する。すなわち、デバイスの実行中メモリ（RAM）内に存在するため、スキャナーが発見できる永続的に保存されたものがほとんど、あるいはまったく存在しない可能性がある。メモリはデバイスの電源が切れると消去されるため、この種のインプラントは再起動後にほとんど痕跡を残さないこともある。

ファイアウォールやその他のネットワークエッジデバイスは、いくつかの理由からこれをさらに困難にする。

  • クローズドなアプライアンスである。 ラップトップとは異なり、通常はファイアウォールに独自のエンドポイントセキュリティツールをインストールすることはできない。
  • ARM64 ハードウェアは多くのアナリストにとって馴染みが薄い。 デスクトップやサーバーシステムを中心に構築されたツールや習慣が常にそのまま通用するわけではない。
  • 境界に位置している。 エッジデバイスは設計上信頼されており、そのトラフィックはワークステーションからのトラフィックよりも精査が少ないことが多い。
  • ログが乏しい可能性がある。 インプラントがディスクにほとんど書き込まなければ、防御側が後から調査できるアーティファクトは少なくなる。

この検知ギャップはファイアウォールに固有のものではない。ランサムウェア被害者の49%が攻撃を検知する前にデータを失うという最近の報道は、防御側が侵害を遅れて知ることがいかに多いかを示している。誰も注意深く監視していないデバイス上のステルスツールは、その窓をさらに広げるだけである。Chaos ランサムウェアグループの msaRAT が Chrome と Edge に隠れる方法にも同様のテーマが見られる。攻撃者は通常の活動に溶け込む場所を選び続けているのだ。

これがあなたにとって何を意味するか

通信事業者を運営していないなら、これが自分に関係するのかと問うのは当然である。この事例での直接的な標的はマネージドサービスプロバイダーであり、報道の中に家庭ユーザーが狙われたことを示す記述はない。それでも、教訓は広く当てはまる。

家庭や小規模事業のルーターやファイアウォールの所有者は、同じ基本的な前提に依存している。つまり、ネットワークの端にある機器は信頼できるという前提である。メモリ常駐型インプラントはこの前提に挑戦する。なぜなら、侵害されたデバイスは外部からは完全に正常に見える可能性があるからだ。FortiGate ファイアウォール、あるいはリモート管理機能を備えたあらゆるファイアウォールやルーターを使用しているなら、あなたのデバイスは単なる保護層ではなく、攻撃対象領域の一部である。

マネージドサービスプロバイダーや ISP に依存している場合も重要である。彼らのエッジ機器はあなたとインターネットの間に位置するため、彼らのセキュリティ慣行は間接的にあなたのセキュリティにも影響する。プロバイダーがネットワークデバイスにどのようにパッチを適用し監視しているかを尋ねることは、妥当な質問である。

実践的な手順：更新、露出した管理インターフェース、再起動、ログ

これらの手順のいずれも PEERSTITCH のようなインプラントに対する保護を保証するものではないが、それぞれが攻撃者の活動の余地を狭める。

  1. ファームウェアを最新に保つ。 ファイアウォールやルーターのベンダーファームウェア更新をできるだけ早くインストールし、ベンダーのセキュリティアドバイザリを購読して修正情報を迅速に把握する。
  2. インターネットに公開された管理インターフェースを閉じる。 管理ページがパブリックインターネットから到達可能な場合は、内部ネットワークまたは専用の管理パスに制限する。強力で固有の管理者パスワードと、デバイスが対応していれば多要素認証を使用する。
  3. 再起動するが、それに頼らない。 メモリ常駐型コードは通常電源サイクルを生き延びないため、再起動で単純なインプラントを消去できることがある。しかし、これは治療法ではない。根本的な弱点が残っていれば、攻撃者は単に戻ってくることができる。再起動はパッチ適用の補完として扱い、代替とはしない。
  4. ログを確認しエクスポートする。 見慣れない管理者ログイン、予期しない構成変更、異常な外向き接続を探す。ログを別のシステムに送信することは役立つ。デバイスを制御している攻撃者は、そこに保存されたログを改ざんできる可能性があるからだ。
  5. サポート終了したハードウェアを交換する。 セキュリティ更新を受けられなくなったデバイスは、新しい問題が発生しても修正できない。

まとめ

PEERSTITCH FortiGate メモリ常駐型マルウェアは、攻撃者がネットワークエッジデバイスに時間を投資する用意があることを示している。まさにそれらが検査しにくいからである。ファイアウォールとルーターのファームウェアにパッチを適用し、管理インターフェースへのパブリックアクセスを遮断し、ログレビューをインシデント後の作業ではなく定期的な習慣にしよう。

ファイアウォールは高度な攻撃者にとって繰り返し標的となる。国家支援ハッカーが CVE-2026-0300 を通じて Palo Alto ファイアウォールを攻撃した並行事例を読み、自分のエッジデバイスが最後にいつ更新されたかを確認しよう。