Il malware FortiOS modifica i controlli VPN all’interno dei processi in esecuzione
È stato scoperto un malware FortiOS denominato PEERSTITCH che opera interamente nella memoria delle appliance compromesse, dove modifica due processi di sistema legittimi per cambiare il modo in cui vengono convalidate determinate sessioni di virtual private network (VPN). Palo Alto Networks Unit 42 attribuisce l’operazione a un presunto advanced threat actor e afferma che l’implant non lascia alcun file eseguibile persistente sul disco, non apre alcuna porta in ascolto e non stabilisce autonomamente connessioni in uscita.
Gli attaccanti hanno distribuito PEERSTITCH sfruttando CVE-2025-61624, una vulnerabilità di path traversal che consente alle operazioni sui file di uscire dalla posizione prevista. La vulnerabilità interessa l’interprete della riga di comando di FortiOS, FortiPAM, FortiProxy e FortiSwitchManager. Un attaccante con privilegi può utilizzare argomenti appositamente costruiti per comandi esistenti allo scopo di scrivere o eliminare file arbitrari. La vulnerabilità ha ottenuto un punteggio di 5,4 nel Common Vulnerability Scoring System (CVSS) ed è stata corretta da Fortinet nell’aprile 2026.
Unit 42 ha scoperto il malware durante l’indagine su un’intrusione prolungata ai danni di un fornitore di servizi gestiti per le telecomunicazioni nel settembre 2024. La campagna è monitorata con il nome CL-STA-0954 ed è nota anche come UNC5820. L’accesso iniziale è avvenuto tramite CVE-2024-47575, la vulnerabilità critica di FortiManager nota come FortiJump. FortiManager è una piattaforma centrale utilizzata per amministrare più appliance di rete FortiGate, perciò la sua compromissione interessa ogni ambiente downstream a essa connesso.
Dopo essere entrati nell’appliance di gestione, gli attaccanti hanno sottratto un archivio contenente configurazioni operative, materiale crittografico e database con informazioni su oltre 500 firewall FortiGate gestiti. Il materiale rubato comprendeva il numero di serie di FortiManager e le relative associazioni con i dispositivi registrati, le configurazioni di oltre 500 firewall, database relazionali centrali integrati e un inventario che abbinava più di 500 numeri di serie FortiGate a indirizzi IP pubblici. Sono state sottratte anche mappe della topologia interna, tabelle di routing e impostazioni delle interfacce, insieme a credenziali amministrative, locali e SSL/VPN cifrate, certificati pubblici e private key.
Unit 42 afferma che gli attaccanti hanno utilizzato queste informazioni per mappare le reti, mantenere l’accesso, intercettare il traffico e creare sessioni FortiGate SSL/VPN non autorizzate sulle appliance perimetrali. Hanno inoltre distribuito backdoor e utilizzato CVE-2025-61624 durante la sequenza di privilege escalation e distribuzione di PEERSTITCH. Secondo quanto riportato, gli attaccanti si sono spacciati per la piattaforma FortiManager durante il recupero di informazioni da altri firewall gestiti presenti nella rete presa di mira.
PEERSTITCH è un eseguibile Linux a 64 bit scritto in C per ARM64, l’architettura di processore utilizzata dall’ambiente delle appliance interessate. La sua installazione inizia con un auto-script che scarica cinque file da 23.240.77[.]233 sulla porta 8085. Si tratta di pM.js, uno script di configurazione dell’ambiente che si elimina autonomamente; a.js, memorizzato come index.js, che fornisce un runtime JavaScript Emscripten; a.wasm, memorizzato come index.wasm, contenente codice WebAssembly compilato; b.js, memorizzato come ipssem.js, che coordina la distribuzione; e dd, memorizzato come lldprx, ovvero l’injector nativo ARM64 contenente il nucleo del malware.
Dopo un intervallo di tempo, ipssem.js avvia lldprx. L’injector identifica i processi /bin/miglogd e /bin/iked in esecuzione, ne esamina il layout della memoria e si collega tramite ptrace, una funzionalità Linux che consente a un processo di ispezionarne e controllarne un altro. Li mette in pausa con PTRACE_INTERRUPT, alloca memoria eseguibile, scrive codice malevolo in quello spazio e reindirizza i processi verso le istruzioni iniettate. In questo modo viene creato un canale di comunicazione all’interno della memoria di due processi FortiOS attendibili, anziché fare affidamento su un file convenzionale o su una connessione di rete separata.
Il codice iniettato in miglogd cerca due indicatori nei dati in transito: il valore 8550 della porta TCP, incorporato nel traffico anziché aperto come porta in ascolto, e l’indirizzo IP link-local 169.254.0.1. Quando riconosce questo pattern, trasferisce il token o l’identificatore della sessione associata al processo iked modificato. L’hook di iked cerca quindi quell’identificatore nelle sessioni VPN successive. Una sessione corrispondente viene instradata attraverso un execution path alternativo che aggira i normali controlli di sicurezza di FortiOS. In termini pratici, il malware FortiOS modifica selettivamente il modo in cui vengono gestite le sessioni VPN contrassegnate, mentre processi legittimi veicolano le sue comunicazioni.
Gli attaccanti hanno creato un altro canale di command and control (C2), ossia un canale utilizzato per gestire da remoto un sistema compromesso, abusando del modulo nativo Apache mod_md sulle appliance FortiGate per avviare una reverse shell SSH. Una reverse shell fa sì che sia il dispositivo compromesso ad avviare una sessione di controllo remoto, anziché attendere una connessione in ingresso. Unit 42 ha inoltre considerato CVE-2024-26009 e CVE-2024-26008 come possibili componenti dell’attività, ma non è riuscita a confermarne l’utilizzo. Lo sfruttamento di queste vulnerabilità richiede la registrazione al single sign-on di FortiGate Cloud/FortiCloud, un servizio di accesso condiviso, e nessuno dei firewall interessati risultava registrato.
L’operazione ha inoltre tentato di distruggere le prove interrompendo la generazione dei syslog, cancellando i record dei crash, ostacolando la telemetria di logging ed eliminando automaticamente, dopo l’uso, gli account amministratore illegittimi e gli oggetti auto-script. Queste misure, insieme all’injection esclusivamente in memoria e all’assenza di una connessione di rete indipendente, riducono l’efficacia dei controlli incentrati unicamente sui file o sulle porte aperte di recente. Le organizzazioni che utilizzano appliance Fortinet gestite centralmente dovrebbero verificare che sia installata la correzione di aprile 2026 e valutare congiuntamente la piattaforma di gestione e i dispositivi downstream, anziché trattare ogni firewall come un sistema isolato. Alle organizzazioni che intendono valutare l’impatto informatico più ampio della compromissione di un’appliance perimetrale, AEU-I offre servizi IT, infrastrutturali e di consulenza orientati innanzitutto alla sicurezza.