Предполагаемый продвинутый злоумышленник был замечен при эксплуатации уязвимости безопасности в Fortinet FortiOS для доставки ранее не сообщавшегося резидентного в памяти вредоносного ПО для ARM64 под названием PEERSTITCH.
Атака включает в себя использование CVE-2025-61624 (CVSS: 5.4), уязвимости обхода каталогов в интерпретаторе командной строки FortiOS, FortiPAM, FortiProxy и FortiSwitchManager, которая может позволить привилегированному злоумышленнику записывать или удалять файлы произвольного содержания с помощью специально созданных аргументов для существующих команд. Fortinet устранил эту уязвимость в апреле 2026 года.
«PEERSTITCH не оставляет следов на диске, не открывает прослушиваемых портов и не инициирует исходящих сетевых соединений», — заявили исследователи Palo Alto Networks Unit 42 Дэниел Готт и Шон Уэстфолл. «Вместо этого он обменивается данными через трафик, генерируемый легитимными процессами на зараженном хосте, что делает вредоносное ПО устойчивым к традиционным методам обнаружения на конечных точках и в сети».
Кибербезопасная компания сообщила, что обнаружила эту активность в рамках длительного проникновения в сеть телекоммуникационного управляемого поставщика услуг, которое произошло в сентябре 2024 года. Многоэтапное проникновение в сеть отслеживается как CL-STA-0954 (также известное как UNC5820), при этом первоначальный доступ был получен путем эксплуатации критической уязвимости Fortinet FortiManager под названием FortiJump (CVE-2024-47575).
После успешного компрометирования устройства злоумышленники, как сообщается, извлекли архив, содержащий текущие конфигурации, криптографические материалы и файлы баз данных с информацией о более чем 500 управляемых межсетевых экранах FortiGate. Некоторые из извлеченных данных приведены ниже:
Украденная информация затем использовалась для проведения сетевой разведки, установления долгосрочного доступа, перехвата сетевого трафика, настройки несанкционированных сессий FortiGate SSL/VPN на периметральных межсетевых экранах, развертывания бэкдоров и эксплуатации отдельной уязвимости повышения привилегий (т. е. CVE-2025-61624) для развертывания PEERSTITCH.
Вредоносное ПО представляет собой 64-битный исполняемый файл Linux ARM64, написанный на C. Он включает в себя автоскрипт, предназначенный для загрузки пяти компонентов с внешнего сервера («23.240.77[.]233:8085»).
Основная фаза атаки начинается после задержки выполнения. Оркестратор («ipssem.js») запускает «lldprx», который затем действует как инжектор патчей памяти процессов, нацеленный на два основных демона FortiOS: «/bin/miglogd» и «/bin/iked».
В частности, он находит запущенные процессы, связанные с двумя демонами, перечисляя их структуру памяти, подключается к ним с помощью ptrace и останавливает их выполнение с помощью PTRACE_INTERRUPT, выделяет исполняемую память и записывает в нее вредоносный код, а затем перенаправляет выполнение через внедренный код.
Конечная цель этого шага перехвата — создать «скрытый, резидентный в памяти канал связи» между двумя легитимными процессами FortiOS вместо использования обычного сетевого соединения или файла, и использовать их в качестве прикрытия для обхода обнаружения.
В частности, хук miglogd оснащен для распознавания маркера в данных, которые он передает через процесс. Это включает два конкретных маркера:
После идентификации этого шаблона он передает связанный токен сессии или идентификатор демону iked, хук которого затем ищет этот идентификатор при обработке последующих сессий VPN. Если такой тег существует в буфере внедрения сессии VPN, он выбирает альтернативный путь выполнения, обходя стандартные проверки безопасности FortiOS.
Иными словами, хуки, внедренные в два процесса FortiOS, изменяют способ обработки определенных сессий демоном VPN.
Помимо развертывания PEERSTITCH, злоумышленники были замечены при установлении отдельного канала управления и контроля (C2) путем использования встроенного модуля Apache «mod_md» на межсетевых экранах FortiGate для создания обратного SSH-соединения. «Злоумышленники также выдавали себя за платформу FortiManager для получения доступа к управляемым межсетевым экранам других хостов в целевой сети», — заявили исследователи. «Злоумышленники продемонстрировали глубокие знания архитектуры устройств Fortinet, внутренних компонентов FortiOS и протоколов управления FortiOS».
Хотя это и не окончательно, предполагается, что злоумышленники могли использовать другие уязвимости, такие как CVE-2024-26009 и CVE-2024-26008, для выполнения этой задачи. Однако Unit 42 подчеркнул, что для эксплуатации этих уязвимостей устройство должно быть зарегистрировано в FortiGate Cloud/FortiCloud SSO, чего не было ни у одного из затронутых межсетевых экранов.
Кроме того, CL-STA-0954 был идентифицирован как проводящий различные меры по удалению криминалистических артефактов путем прекращения генерации syslog, очистки журналов сбоев, нарушения телеметрии журналирования и автоматического удаления несанкционированных учетных записей администраторов и объектов автоскриптов после выполнения.
«Это вторжение подчеркивает растущую угрозу — использование централизованных экосистем управления периферийными устройствами для компрометации нижестоящих сетей», — заявили в Unit 42. «Обнаружение импланта PEERSTITCH демонстрирует растущую техническую зрелость вредоносного ПО для периферийных устройств».
«Работая как одноразовый инжектор, избегая постоянных следов на диске и создавая скрытый мост межпроцессного взаимодействия внутри памяти процессов, злоумышленники достигли устойчивой персистентности, обходя традиционный мониторинг».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
