FortiOS malware ridrejton kontrollet e VPN brenda proceseve aktive
FortiOS malware i quajtur PEERSTITCH është zbuluar duke vepruar tërësisht në memorien e appliance të komprometuara, ku modifikon dy procese legjitime të sistemit për të ndryshuar mënyrën e verifikimit të sesioneve të përzgjedhura të rrjetit privat virtual (VPN). Palo Alto Networks Unit 42 ia atribuon operacionin një threat actor të avancuar të dyshuar dhe thotë se implant nuk lë asnjë executable file të përhershëm në disk, nuk hap asnjë listening port dhe nuk krijon vetë asnjë lidhje dalëse.
Sulmuesit vendosën PEERSTITCH duke shfrytëzuar CVE-2025-61624, një dobësi path traversal që u lejon operacioneve me skedarët të dalin jashtë vendndodhjes së synuar. Dobësia prek command-line interpreter në FortiOS, FortiPAM, FortiProxy dhe FortiSwitchManager. Një sulmues me privilegje mund të përdorë argumente të ndërtuara posaçërisht për komandat ekzistuese, me qëllim shkrimin ose fshirjen e skedarëve arbitrarë. Dobësia ka një vlerësim prej 5.4 në Common Vulnerability Scoring System (CVSS) dhe u korrigjua nga Fortinet në prill 2026.
Unit 42 e zbuloi malware gjatë hetimit të një ndërhyrjeje të zgjatur te një ofrues i menaxhuar shërbimesh telekomunikacioni në shtator 2024. Fushata gjurmohet si CL-STA-0954, e njohur gjithashtu si UNC5820. Qasja fillestare u realizua përmes CVE-2024-47575, dobësisë kritike të FortiManager të njohur si FortiJump. FortiManager është një platformë qendrore që përdoret për të administruar disa FortiGate network appliances, ndaj komprometimi i saj prek çdo mjedis downstream të lidhur me të.
Pasi hynë në management appliance, sulmuesit morën një arkiv që përmbante konfigurimet aktive, materiale kriptografike dhe database me informacione për më shumë se 500 FortiGate firewalls të menaxhuar. Materiali i vjedhur përfshinte numrin serial të FortiManager dhe marrëdhëniet e tij me pajisjet e regjistruara, konfigurime nga më shumë se 500 firewalls, embedded relational databases qendrore dhe një inventar që lidhte më shumë se 500 numra serialë FortiGate me adresa IP publike. U morën gjithashtu hartat e topologjisë së brendshme, routing tables dhe parametrat e interface, së bashku me kredencialet e enkriptuara administrative, lokale dhe SSL/VPN, public certificates dhe private keys.
Unit 42 thotë se sulmuesit e përdorën këtë informacion për të hartëzuar rrjetet, për të ruajtur qasjen, për të interceptuar trafikun dhe për të krijuar sesione të paautorizuara FortiGate SSL/VPN në perimeter appliances. Ata vendosën gjithashtu backdoors dhe përdorën CVE-2025-61624 gjatë sekuencës së privilege escalation dhe vendosjes së PEERSTITCH. Sipas raportimit, sulmuesit u paraqitën si platforma FortiManager kur merrnin informacione nga firewalls të tjerë të menaxhuar në rrjetin e synuar.
PEERSTITCH është një Linux executable 64-bit, i shkruar në C për ARM64, arkitektura e procesorit që përdoret nga mjedisi i appliance të prekura. Instalimi i tij nis me një auto-script që shkarkon pesë skedarë nga 23.240.77[.]233 në port 8085. Këta janë pM.js, një script vetëfshirës për konfigurimin e mjedisit; a.js, i ruajtur si index.js, i cili ofron një Emscripten JavaScript runtime; a.wasm, i ruajtur si index.wasm, që përmban kod WebAssembly të kompiluar; b.js, i ruajtur si ipssem.js, që koordinon vendosjen; dhe dd, i ruajtur si lldprx, që është native ARM64 injector i cili përmban malware kryesor.
Pas një vonese, ipssem.js nis lldprx. Injector identifikon proceset aktive /bin/miglogd dhe /bin/iked, shqyrton memory layouts të tyre dhe lidhet përmes ptrace, një funksion i Linux që i lejon një procesi të inspektojë dhe kontrollojë një proces tjetër. Ai i ndalon përkohësisht me PTRACE_INTERRUPT, alokon memorie executable, shkruan kod keqdashës në atë hapësirë dhe i ridrejton proceset te instruksionet e injektuara. Kjo krijon një rrugë komunikimi brenda memories së dy proceseve të besuara FortiOS, në vend që të mbështetet te një skedar tradicional ose te një lidhje e veçantë rrjeti.
Kodi i injektuar në miglogd kërkon në të dhënat që kalojnë dy shenja: vlerën 8550 të TCP port, e cila është e integruar në trafik dhe jo e hapur si listening port, dhe adresën IP link-local 169.254.0.1. Kur e njeh këtë model, ai transferon session token ose identifikuesin përkatës te procesi i modifikuar iked. Më pas, iked hook kërkon atë identifikues në sesionet e mëvonshme VPN. Një sesion që përputhet dërgohet përmes një execution path alternativ që anashkalon kontrollet normale të sigurisë së FortiOS. Në praktikë, FortiOS malware ndryshon në mënyrë selektive trajtimin e sesioneve VPN të shënuara, ndërsa proceset legjitime bartin komunikimet e tij.
Sulmuesit krijuan edhe një rrugë tjetër command and control (C2), që do të thotë një kanal i përdorur për të operuar nga distanca një sistem të komprometuar, duke keqpërdorur modulin native Apache mod_md në FortiGate appliances për të nisur një SSH reverse shell. Një reverse shell bën që pajisja e komprometuar të iniciojë një sesion kontrolli në distancë, në vend që të presë një lidhje hyrëse. Unit 42 shqyrtoi gjithashtu CVE-2024-26009 dhe CVE-2024-26008 si pjesë të mundshme të aktivitetit, por nuk mundi të konfirmonte përdorimin e tyre. Shfrytëzimi i këtyre dobësive kërkon regjistrim në FortiGate Cloud/FortiCloud single sign-on, një shërbim të përbashkët identifikimi, dhe asnjë nga firewalls e prekur nuk e kishte këtë regjistrim.
Operacioni u përpoq gjithashtu të shkatërronte provat duke ndaluar gjenerimin e syslog, duke pastruar crash records, duke ndërprerë logging telemetry dhe duke fshirë automatikisht pas përdorimit llogaritë e paautorizuara të administratorëve dhe objektet auto-script. Këto masa, së bashku me injektimin vetëm në memorie dhe mungesën e një lidhjeje të pavarur rrjeti, ulin vlerën e kontrolleve që përqendrohen vetëm te skedarët ose portet e sapohapura. Organizatat që përdorin Fortinet appliances të menaxhuara në mënyrë qendrore duhet të konfirmojnë se është instaluar korrigjimi i prillit 2026 dhe të vlerësojnë së bashku platformën e menaxhimit dhe pajisjet downstream, në vend që ta trajtojnë çdo firewall si sistem të izoluar. Për organizatat që shqyrtojnë ndikimin më të gjerë në IT të komprometimit të një edge appliance, AEU-I ofron IT, infrastrukturë dhe konsulencë me sigurinë si përparësi.