PEERSTITCH Malware Deployed via FortiOS Flaw Bypasses Checks on Tagged VPN Sessions
The Hacker News · 16 oct, 06:59
Qué hacer: Actualiza Fortinet FortiOS, FortiPAM, FortiProxy y FortiSwitchManager a la versión parcheada en abril de 2026 o posterior, y aplica inmediatamente el parche para CVE-2024-47575 en FortiManager.
Un actor de amenaza avanzada ha explotado CVE-2025-61624, una vulnerabilidad de path traversal en Fortinet FortiOS, para desplegar PEERSTITCH, un malware ARM64 residente en memoria que elude la detección. El ataque, descubierto en una intrusión prolongada contra un proveedor de servicios gestionados de telecomunicaciones iniciada en septiembre de 2024, permitió a los atacantes robar configuraciones ejecutables, material criptográfico e información sobre más de 500 firewalls FortiGate antes de implantar el malware mediante inyección de código en procesos legítimos del sistema.
La campaña CL-STA-0954 (aka UNC5820) comenzó con la explotación de CVE-2024-47575 (FortiJump) en FortiManager, permitiendo a los atacantes exfiltrar configuraciones, credenciales SSH/VPN y certificados de más de 500 firewalls FortiGate, incluyendo números de serie, direcciones IP públicas, topología de red y material criptográfico. Esta información se utilizó para establecer acceso persistente mediante sesiones SSL/VPN no autorizadas y explotar CVE-2025-61624 (CVSS 5.4) para el despliegue del malware.
PEERSTITCH es un ejecutable ELF ARM64 de 64 bits escrito en C que descarga cinco componentes desde 23.240.77[.]233:8085: un script de preparación autoeliminable, módulos de tiempo de ejecución JavaScript y WebAssembly, un orquestador de despliegue y un inyector ELF ARM64 nativo. El inyector utiliza ptrace para inyectar código malicioso en los demonios miglogd e iked, creando un puente de comunicación covert que reconoce marcadores específicos (puerto TCP 8550 e identificador link-local 169.254.0.1) para omitir las validaciones de seguridad de FortiOS en sesiones VPN etiquetadas. Los atacantes también utilizaron el módulo Apache mod_md para establecer un canal C2 adicional basado en SSH y se observó que realizaban medidas de limpieza de artefactos forenses.
Puntos clave
- CVE-2025-61624 (CVSS 5.4) parcheada en abril de 2026; CVE-2024-47575 (FortiJump) crítica en FortiManager
- PEERSTITCH es malware residente en memoria sin binarios persistentes que inyecta código en procesos legítimos para eludir detección
- Comprometidos más de 500 firewalls FortiGate; exfiltrados certificados, credenciales y topología de red
- Inyector detecta marcadores en tráfico VPN (puerto 8550, IP 169.254.0.1) para omitir validaciones de sesiones etiquetadas
Figuras de la fuente
