Малициозниот софтвер PEERSTITCH се инсталира преку ранливост во FortiOS и ги заобиколува проверките на означените VPN-сесии

Забележан е сомнителен напреден заканувачки актер кој ја искористува безбедносната ранливост во Fortinet FortiOS за да испорача претходно непријавен малициозен софтвер PEERSTITCH, кој се наоѓа во меморијата и е наменет за ARM64 архитектурата.

Нападот вклучува искористување на CVE-2025-61624 (CVSS-оцена: 5.4) — ранливост од типот path traversal во интерпретаторот на командната линија на FortiOS, FortiPAM, FortiProxy и FortiSwitchManager. Таа може да му овозможи на напаѓач со зголемени привилегии произволно да запишува или брише датотеки преку специјално изработени аргументи предадени на постојните команди. Fortinet ја поправи ранливоста во април 2026 година.

„PEERSTITCH не остава постојана извршна датотека на дискот, не отвора порти што слушаат и не иницира излезни мрежни врски“, изјавија истражувачите на Palo Alto Networks Unit 42, Даниел Гот и Шон Вестфал во извештајот. „Наместо тоа, тој комуницира преку сообраќај што го генерираат легитимните процеси на заразениот систем, што го прави малициозниот софтвер отпорен на конвенционалните механизми за откривање на крајните уреди и мрежата.“

Компанијата за сајбер-безбедност соопшти дека ја открила оваа активност како дел од продолжен упад во мрежата на давател на управувани телекомуникациски услуги, кој се случил во септември 2024 година. Овој повеќефазен мрежен упад се следи под ознаката CL-STA-0954 (познат и како UNC5820). Првичниот пристап бил остварен преку искористување на критична ранливост во Fortinet FortiManager, наречена FortiJump (CVE-2024-47575).

По успешното компромитирање на уредот, напаѓачите, наводно, извлекле архива што содржела активни конфигурации, криптографски материјали и датотеки од бази на податоци со информации за повеќе од 500 управувани FortiGate заштитни ѕидови. Дел од собраните податоци се наведени подолу:

• Серискиот број на самиот уред FortiManager и неговите односи за управување со секој регистриран уред.
• Активни конфигурациски датотеки за повеќе од 500 управувани FortiGate заштитни ѕидови низ внатрешната инфраструктура и мрежите на клиентите.
• SQLite-бази на податоци за централизирано управување.
• Инвентар со повеќе од 500 сериски броеви на FortiGate, заедно со соодветните јавни IP-адреси.
• Мапи на топологијата на внатрешната мрежа, табели за рутирање и конфигурации на мрежните интерфејси.
• Шифрирани акредитиви на администраторите, локалните сметки и SSL/VPN-врските.
• Кодирани криптографски материјали за доверба, вклучувајќи јавни сертификати и приватни клучеви.

Украдените информации потоа биле искористени за извидување на мрежата, воспоставување долгорочен пристап, пресретнување на мрежниот сообраќај, поставување неовластени FortiGate SSL/VPN-сесии кон заштитните ѕидови на мрежниот периметар, инсталирање задни врати и искористување на посебна ранливост за ескалација на привилегиите (односно CVE-2025-61624) со цел распоредување на PEERSTITCH.

Малициозниот софтвер е 64-битна извршна датотека за Linux, наменета за ARM64 архитектурата, напишана во програмскиот јазик C. Тој содржи автоматска скрипта дизајнирана да преземе пет компоненти од надворешен сервер („23.240.77[.]233:8085“):

• pM.js — скрипта за подготовка на околината, која сама се брише по извршувањето.
• a.js (зачувана како index.js) — JavaScript-модул за извршување, генериран со Emscripten.
• a.wasm (зачувана како index.wasm) — компајлиран бинарен модул WebAssembly.
• b.js (зачувана како ipssem.js) — скрипта што го координира распоредувањето на малициозниот софтвер.
• dd (зачувана како lldprx) — мајчин ARM64 ELF-инјектор за бинарни датотеки, кој претставува јадро на PEERSTITCH.

Главната фаза од нападот започнува по одредено доцнење во извршувањето. Оркестраторската скрипта (ipssem.js) ја стартува датотеката lldprx, која потоа дејствува како инјектор за менување на содржината на процесната меморија. Тој ги таргетира двата клучни демони на FortiOS: /bin/miglogd и /bin/iked.

Конкретно, тој ги пронаоѓа активните процеси поврзани со двата демона, ја анализира организацијата на нивната меморија, им се прикачува со помош на ptrace и го запира нивното извршување со користење на PTRACE_INTERRUPT. Потоа, доделува меморија во која е дозволено извршување, запишува малициозен код во неа и го пренасочува извршувањето преку вметнатиот код.

Крајната цел на овој чекор, познат како hooking, е да се создаде „прикриен комуникациски мост сместен во меморијата“ меѓу двата легитимни процеси на FortiOS, наместо да се користи вообичаена мрежна врска или датотека. На тој начин, легитимните процеси служат како прикритие за заобиколување на механизмите за откривање.

Конкретно, hook-от вметнат во miglogd е опремен да препознава одреден маркер во податоците што минуваат низ процесот. Тоа вклучува два специфични маркери:

• TCP-маркер за порта — 8550 (вметнат во податоците на сообраќајот, а не порта што слуша за дојдовни врски).
• IP-маркер — 169.254.0.1 (локален идентификатор за врска, кој се користи за препознавање обрасци).

Откако ќе го препознае овој образец, тој го проследува соодветниот токен или идентификатор на сесијата до демонот iked. Неговиот hook потоа го бара истиот идентификатор при обработката на следните VPN-сесии. Доколку таква ознака постои во баферот за вметнување на таа VPN-сесија, се избира алтернативна патека за извршување, со што се заобиколуваат стандардните безбедносни проверки на FortiOS.

Со други зборови, hook-овите вметнати во двата процеса на FortiOS го менуваат начинот на кој VPN-демонот обработува одредени сесии.

Покрај инсталирањето на PEERSTITCH, забележано е дека напаѓачите воспоставувале и посебен канал за командување и контрола (C2), користејќи го вградениот модул на Apache, mod_md, на заштитните ѕидови FortiGate за да активираат обратна школка базирана на SSH (SSH-based reverse shell).

„Напаѓачите, исто така, се претставувале како платформата FortiManager за да преземаат податоци од управуваните заштитни ѕидови на други уреди во таргетираната мрежа“, соопштија истражувачите. „Напаѓачите покажаа високо ниво на познавање на архитектурата на уредите Fortinet, внатрешната структура на FortiOS и протоколите за управување со FortiOS.“

Иако нема конечна потврда, постои сомневање дека напаѓачите можеби искористиле и други ранливости, како што се CVE-2024-26009 и CVE-2024-26008, за да ја извршат оваа активност. Сепак, Unit 42 нагласи дека искористувањето на овие ранливости бара уредот да биде регистриран во FortiGate Cloud/FortiCloud SSO, а ниту еден од засегнатите заштитни ѕидови не бил регистриран на тој начин.

Дополнително, утврдено е дека групата CL-STA-0954 преземала различни мерки за отстранување на форензичките траги. Тие вклучувале запирање на генерирањето syslog-записи, бришење на логовите за падови на системот, нарушување на телеметријата за евидентирање и автоматско бришење на неовластените администраторски сметки и објектите со автоматски скрипти по нивното извршување.

„Овој упад укажува на растечка закана: злоупотреба на централизирани екосистеми за управување со мрежни уреди на работ на мрежата, со цел компромитирање на поврзаните мрежи“, соопшти Unit 42. „Откривањето на имплантот PEERSTITCH ја покажува сè поголемата техничка софистицираност на малициозниот софтвер наменет за мрежни уреди на работ на мрежата.“

„Со тоа што дејствувале како инјектор што се извршува еднократно, избегнувале да оставаат трајни траги на дискот и изградиле прикриен мост за комуникација меѓу процесите во меморијата, напаѓачите постигнале долготрајно задржување на пристапот, истовремено избегнувајќи ги традиционалните системи за мониторинг.“

Извори:

• The Hacker News – PEERSTITCH Malware Deployed via FortiOS Flaw Bypasses Checks on Tagged VPN Sessions The Hacker News