React2Shellの脆弱性を悪用しEtherRATを展開、北朝鮮関連ツールと類似

React2Shell(CVE-2025-55182)を悪用しEtherRATを展開、北朝鮮関連ツールと類似点あり。資産・ログ・検知の優先順位をSIEMの観点から解説します。

React Server Componentsの深刻な脆弱性「React2Shell」(CVE-2025-55182、CVSSスコア10.0)が悪用され、これまで報告されていなかったリモートアクセス型トロイの木馬「EtherRAT」が展開されていることが確認されました。EtherRATを発見した研究者は、この活動が北朝鮮関連の「Contagious Interview」キャンペーンのツールと重なる点を確認していますが、同一の攻撃者によるものとは断定できないとしています。以下では、この脆弱性の概要、マルウェアの挙動、そして組織にとっての意味を解説します。

React2Shellとは

React2Shellは、多くの現代的なWebアプリケーションでサーバー側のコンポーネント描画に使われるフレームワーク機能、React Server Components (RSC) に存在するセキュリティ上の脆弱性です。この脆弱性を悪用されると、認証を経ていない攻撃者でも対象アプリケーションをホストするサーバー上でリモートコード実行が可能になります。影響を受けるのはreact-server-dom-webpack、-parcel、-turbopackのバージョン19.0〜19.2.0で、19.0.1/19.1.2/19.2.1で修正されています。攻撃者はこれを足がかりとして追加のマルウェアを展開していることが確認されています。

EtherRATとは

EtherRATはリモートアクセス型トロイの木馬(RAT)で、感染したシステムを攻撃者が遠隔操作できるようにするマルウェアです。インストールされると、攻撃者はコマンドの実行、ネットワーク内での横展開、そして侵害環境への長期的なアクセス維持が可能になります。

技術的な特徴

EtherRATの設計は、ある程度洗練された攻撃者による開発を示唆しています。

Ethereumスマートコントラクトを使ったC2通信: 従来型のC2サーバーに依存する代わりに、EtherRATはEthereumのスマートコントラクトを通じて指令を取得します。これにより、通常のドメイン・IPブロックリストによる遮断が困難になっています。
Linux上の5種類の永続化手法: 複数の独立した永続化手法をシステムに仕込むため、再起動や一部の駆除作業を行っても感染が残り続けます。
Node.jsランタイムのオンデマンド取得: nodejs.orgから直接Node.jsをダウンロードして実行環境を用意するため、対象システムに元から入っているソフトウェアに依存せずペイロードを実行できます。

Contagious Interviewキャンペーンとの関連

Sysdigの研究者は、この一連の活動を北朝鮮関連の既知キャンペーン「Contagious Interview」に関連づけています。同キャンペーンは2025年2月から活動しており、ブロックチェーンを使ってペイロードを保管・取得する「EtherHiding」という手法でマルウェアを配布してきました。EtherRATがEthereumスマートコントラクトをC2に利用している点は、この手口と一致しています。研究者は、これが同一の攻撃者による手法転換なのか、北朝鮮関連の複数グループ間でのツール共有なのかは不明であるとしつつ、コードの直接的な重複がない以上、EtherRATがContagious Interviewと同じ攻撃者によるものとは断定できないと明言しています。

組織にとっての意味

React Server Componentsを利用している、またはRSCを基盤とするソフトウェアに依存している場合、この攻撃キャンペーンは直接的なリスクとなります。

React2Shellへのパッチ適用を今すぐ実施する: 自社環境でRSCを使用しているアプリケーションを洗い出し、影響の有無を確認したうえで、ベンダー提供の修正を適用してください。インターネットに公開されているRSC環境は特に優先度を上げて対応すべきです。
EtherRAT固有の痕跡を調査する: Ethereum RPCエンドポイントへの想定外の通信、通常のランタイムパス以外にある不審なNode.jsプロセスやバイナリ、Linuxホスト上で新規作成された永続化設定(cronジョブ、systemdユニット、起動スクリプトなど)を確認してください。
アウトバウンド通信の監視体制を見直す: ブロックチェーンを使ったC2はドメイン・IPベースの遮断を回避するよう設計されています。ブロックリストだけに頼らず、異常な通信パターンを検知できるネットワーク監視の方が、この種のインフラを捉えやすくなります。

この脆弱性1件にとどまらない意味

React2Shell自体はいずれパッチが適用されますが、より根深い問題はEtherRATが使う手法そのものです。ブロックチェーンベースのC2は、防御側にとって最も頼りになる対策の一つ、すなわち既知の悪性サーバーを遮断・停止させるという手段を無効化します。この手法を採用する攻撃者が増えるほど、検知の軸足は「このIPがブロックリストに載っているか」から「この挙動がC2通信のパターンに一致するか」へと移っていきます。つまり、ログの可視性と相関分析の重要性がこれまで以上に高まっているということです。

これはまさにSIEMが担う役割です。SIEMはネットワーク、エンドポイント、クラウドサービス全体のログを収集・相関分析し、単一のログソースだけでは見逃してしまうような異常な挙動、例えばNode.jsプロセスが見慣れないブロックチェーンRPCエンドポイントに通信しているといったケースを浮かび上がらせます。適切なログ保管と組み合わせれば、侵害が発生した際にその範囲をどこまで遡って特定できるかを左右する重要なデータにもなります。

zcrのSIEMプラットフォームがこうした検知・調査をどのように支援するかは、zcrSIEMのページをご覧ください。自社のリスクについて相談したい場合は、zcrまでお問い合わせください。

自社の環境についてのご相談は、こちらへどうぞ。

メール: hello@cyberdefense.co.th
電話: 086-940-1383、082-037-0611
LINE: @cyberdefense

出典

React Server Componentsの脆弱性に関するセキュリティ情報 — CVE-2025-55182に関するReactチームの公式アドバイザリー、2026年9月15日アクセス
EtherRAT: DPRK Uses Novel Ethereum Implant in React2Shell Attacks — Sysdig Threat Research Team、2025年12月8日、2026年9月15日アクセス

関連する比較と運用の詳細は、次の記事をご覧ください。