PEERSTITCH koristi FortiOS propust za zaobilaženje VPN provera
Napadači su iskoristili ranjivost CVE-2025-61624 u Fortinetovom softveru FortiOS za isporuku do tada nezabeleženog ARM64 malvera PEERSTITCH. Propust, ocenjen sa CVSS 5,4 i zakrpljen u aprilu 2026, pogađa komandni interpreter proizvoda FortiOS, FortiPAM, FortiProxy i FortiSwitchManager; privilegovani napadač može posebno oblikovanim argumentima postojećih komandi proizvoljno upisivati ili brisati fajlove.
Palo Alto Networks Unit 42 opisuje PEERSTITCH kao 64-bitni Linux ARM64 izvršni program napisan u jeziku C. Njegova ključna odlika je izostanak trajnog binarnog traga na disku, otvorenih portova i sopstvenih odlaznih mrežnih veza. Umesto toga, komunikacija se oslanja na saobraćaj legitimnih procesa kompromitovanog uređaja, što otežava uobičajeno mrežno i endpoint otkrivanje.
Od FortiManager kompromitovanja do VPN sesija
Aktivnost je otkrivena tokom dugotrajne intruzije u telekomunikacionog pružaoca upravljanih usluga iz septembra 2024. Operacija se prati kao CL-STA-0954, odnosno UNC5820, a početni pristup ostvaren je iskorišćavanjem kritične FortiManager ranjivosti FortiJump, CVE-2024-47575.
Nakon kompromitovanja uređaja, akteri su izneli arhivu sa aktivnim konfiguracijama, kriptografskim materijalom i bazama podataka za više od 500 upravljanih FortiGate zaštitnih zidova. Među prikupljenim podacima bili su serijski brojevi, javne IP adrese, topologija mreže, rutne tabele, konfiguracije interfejsa, šifrovani administratorski i SSL/VPN kredencijali, sertifikati i privatni ključevi.
Ti podaci su potom korišćeni za izviđanje mreže, dugoročan pristup, presretanje saobraćaja, uspostavljanje neovlašćenih FortiGate SSL/VPN sesija i postavljanje bekdorova. Unit 42 je takođe zabeležio zaseban kanal za komandovanje preko izvornog Apache modula mod_md na FortiGate uređajima, kojim je pokretana SSH reverzna ljuska.
Memorijski most između legitimnih demona
Nakon vremenskog odlaganja, orkestrator pokreće komponentu lldprx koja ubrizgava kod u procese /bin/miglogd i /bin/iked. Injector pronalazi procese, mapira njihovu memoriju, koristi ptrace i PTRACE_INTERRUPT, rezerviše izvršnu memoriju, upisuje zlonamerni kod i preusmerava izvršavanje.
Ubrizgane funkcije stvaraju prikriveni komunikacioni most u memoriji između dva legitimna FortiOS procesa. Kuka u miglogd prepoznaje oznake TCP porta 8550, koje nisu port za osluškivanje, i IP adresu 169.254.0.1 kao obrazac u saobraćaju. Zatim prosleđuje identifikator sesije procesu iked, gde druga kuka traži isti identifikator u narednim VPN sesijama i, kada ga pronađe, bira alternativnu putanju koja zaobilazi podrazumevane FortiOS bezbednosne provere.
Operativne mere za organizacije
CL-STA-0954 je uklanjao forenzičke tragove prekidanjem syslog generisanja, brisanjem zapisa o rušenjima, ometanjem telemetrije i automatskim uklanjanjem neovlašćenih administratorskih naloga i auto-script objekata. Takvo ponašanje dodatno povećava važnost nezavisnog nadzora upravljačke ravni i očuvanja logova van samih mrežnih uređaja.
Za poslovanje je praktičan zaključak da je potrebno primeniti Fortinetove zakrpe, proveriti integritet FortiManager veza i upravljanih FortiGate uređaja, ograničiti pristup administrativnim ravnima i istražiti neuobičajene SSL/VPN sesije, promene procesa miglogd i iked, kao i prekide telemetrije. Centralizovano upravljanje graničnim uređajima mora se posmatrati kao kritična bezbednosna tačka čije kompromitovanje može otvoriti put ka velikom broju povezanih mreža.