PEERSTITCH внедряют через уязвимость FortiOS и используют для обхода проверок в помеченных VPN-сеансах
Исследователи Palo Alto Networks Unit 42 обнаружили ранее не описанное вредоносное ПО для FortiOS, которое работает в памяти и меняет обработку отдельных VPN-сеансов. Для его установки злоумышленники использовали уязвимость CVE-2025-61624, исправленную Fortinet в апреле 2026 года.
Исследователи Palo Alto Networks Unit 42 сообщили о вредоносной программе PEERSTITCH, которую неизвестная группировка применяла против устройств Fortinet. Имплант работает в оперативной памяти FortiOS и, по данным исследователей, не оставляет постоянного бинарного файла на диске, не открывает прослушиваемых портов и не устанавливает исходящих соединений от собственного имени.
Для развёртывания PEERSTITCH атакующие использовали CVE-2025-61624 — уязвимость обхода путей в интерпретаторе командной строки FortiOS, FortiPAM, FortiProxy и FortiSwitchManager. При наличии привилегий она позволяет записывать или удалять файлы с помощью специально сформированных аргументов существующих команд. Fortinet исправила проблему в апреле 2026 года; оценка CVSS составляет 5,4.
PEERSTITCH представляет собой 64-разрядную программу для Linux ARM64, написанную на C. После запуска загрузчик внедряет код в память двух штатных процессов FortiOS — miglogd и iked. Первый отслеживает заданные маркеры в проходящем трафике, включая порт 8550 и адрес 169.254.0.1, после чего передаёт идентификатор сеанса процессу iked. Если этот идентификатор обнаруживается при обработке последующего VPN-сеанса, код в iked переводит его на альтернативный путь обработки, обходящий стандартные проверки FortiOS.
Активность выявили при расследовании длительного проникновения в сеть телекоммуникационного поставщика управляемых услуг, происходившего в сентябре 2024 года. Исследователи отслеживают кластер под именем CL-STA-0954, также известный как UNC5820. Первоначальный доступ, как утверждается, был получен через критическую уязвимость FortiManager FortiJump (CVE-2024-47575).
После компрометации FortiManager злоумышленники, по оценке Unit 42, выгрузили архив с конфигурациями, криптографическими материалами и базами данных. В нём содержались сведения более чем о 500 управляемых межсетевых экранах FortiGate, включая серийные номера, публичные IP-адреса, данные о топологии сети, конфигурации и зашифрованные учётные данные. Эти данные использовались для разведки, закрепления в сети, перехвата трафика и создания несанкционированных SSL/VPN-сеансов на периметровых устройствах.
Помимо PEERSTITCH, атакующие задействовали штатный модуль Apache mod_md на FortiGate для создания обратной SSH-оболочки, утверждают исследователи. Они также удаляли следы: останавливали формирование syslog, очищали журналы сбоев, нарушали отправку телеметрии и автоматически удаляли созданные учётные записи администраторов и объекты auto-script после выполнения.