PEERSTITCH внедряется в память FortiOS и меняет проверки VPN
Palo Alto Networks Unit 42 выявила ранее не описанный ARM64-вредонос PEERSTITCH, который использовался против устройств Fortinet после эксплуатации CVE-2025-61624. Уязвимость с оценкой CVSS 5,4 затрагивает интерпретатор командной строки FortiOS, FortiPAM, FortiProxy и FortiSwitchManager; Fortinet исправила её в апреле 2026 года.
Кампанию отслеживают как CL-STA-0954, также известную как UNC5820. Исследователи связали активность с длительным проникновением в сеть телекоммуникационного поставщика управляемых услуг, начавшимся в сентябре 2024 года. Первоначальный доступ был получен через критическую уязвимость FortiJump, CVE-2024-47575, в FortiManager.
От FortiManager к управляемым межсетевым экранам
После компрометации FortiManager атакующие выгрузили архив с рабочими конфигурациями, криптографическими материалами и базами данных. В нём находились сведения более чем о 500 управляемых FortiGate: серийные номера, публичные IP-адреса, топология, маршруты, конфигурации интерфейсов, а также зашифрованные учётные данные администраторов и SSL/VPN.
Эти данные применялись для разведки, сохранения доступа, перехвата сетевого трафика, создания несанкционированных SSL/VPN-сессий на периметровых FortiGate и установки бэкдоров. Затем злоумышленники использовали CVE-2025-61624 для повышения привилегий и развёртывания PEERSTITCH.
Как работает PEERSTITCH
PEERSTITCH — 64-битный Linux ARM64-исполняемый файл на C. Его загрузочный сценарий получает пять компонентов, включая JavaScript- и WebAssembly-модули, сценарий развёртывания и нативный инжектор. После задержки инжектор подключается через ptrace к процессам miglogd и iked, приостанавливает их, выделяет исполняемую память, записывает код и перенаправляет выполнение.
Инъекция создаёт скрытый канал связи между двумя штатными процессами FortiOS. Имплант не сохраняет постоянный бинарный файл на диске, не открывает слушающие порты и не инициирует исходящие сетевые подключения. Поэтому обмен маскируется под трафик легитимных процессов устройства.
Перехватчик в miglogd ищет в проходящих данных маркеры: TCP-порт 8550, который не является слушающим портом, и адрес 169.254.0.1. При совпадении он передаёт идентификатор сессии процессу iked. Если тот обнаруживает метку при обработке следующей VPN-сессии, обработка переходит на альтернативный путь и пропускает стандартные проверки FortiOS.
Что проверить защитникам
Unit 42 также зафиксировала отдельный канал управления: для запуска обратной SSH-оболочки применялся штатный модуль Apache mod_md на FortiGate. Группа удаляла следы, прекращая генерацию syslog, очищая crash-логи, нарушая телеметрию и автоматически удаляя созданные учётные записи администраторов и объекты auto-script.
Организациям с FortiManager и FortiGate стоит убедиться в установке исправлений, проверить целостность управляющего контура, журналы и изменения VPN-сессий. В этой кампании компрометация централизованного управления дала атакующим сведения и возможности для доступа к управляемым периметровым устройствам, поэтому расследование должно охватывать не только отдельный FortiGate, но и всю связанную инфраструктуру.