Malware-ul PEERSTITCH, distribuit prin intermediul unei vulnerabilități din FortiOS

A fost observat un presupus atacator avansat care exploata o vulnerabilitate de securitate din Fortinet FortiOS pentru a distribui un malware ARM64 rezident în memorie, neraportat până acum, cunoscut sub numele de PEERSTITCH.

Atacul implică exploatarea CVE-2025-61624 (scor CvSS: 5.4/10), o vulnerabiltate de tip path traversal în interpretorul de linie de comandă al FortiOS, FortiPAM, FortiProxy și FortiSwitchManager, care ar putea permite unui atacator cu privilegii să scrie sau să șteargă fișiere în mod arbitrar prin intermediul unor argumente special create pentru comenzile existente.

PEERSTITCH nu lasă niciun fișier binar persistent pe disc, nu deschide porturi de ascultare și nu inițiază conexiuni de rețea către exterior. În schimb, acesta comunică prin traficul generat de procesele legitime de pe host-ul infectat, ceea ce face ca malware-ul să fie dificil de detectat la nivel de terminal și de rețea, au semnalat specialiștii.

După ce au reușit să compromită dispozitivul, se pare că atacatorii au sustras o arhivă care conținea configurații active, materiale criptografice și date despre baze de date cu informații referitoare la peste 500 de firewall-uri FortiGate gestionate.

Informațiile sustrase au fost apoi utilizate pentru a efectua recunoașterea rețelei, a stabili acces pe termen lung, a intercepta traficul de rețea, a configura sesiuni SSL/VPN FortiGate neautorizate către firewall-urile perimetrale, a implementa backdoor-uri și a exploata o vulnerabilitate separată de escaladare a privilegiilor (CVE-2025-61624) pentru a implementa PEERSTITCH.

Programul malware este un fișier executabil Linux ARM64 pe 64 de biți, scris în limbajul C.

Pe lângă implementarea PEERSTITCH, s-a observat că atacatorii au stabilit un canal separat de comandă și control (C2) folosind modulul nativ mod_md al Apache de pe firewall-urile FortiGate, pentru a genera un reverse shell bazat pe SSH.

Deși nu este o concluzie definitivă, se presupune că atacatorii ar fi putut exploata și alte vulnerabilități, precum CVE-2024-26009 și CVE-2024-26008, pentru a duce la îndeplinire această acțiune. Cu toate acestea, specialiștii au subliniat că exploatarea acestor vulnerabilități presupune ca dispozitivul să fie înregistrat în FortiGate Cloud/FortiCloud SSO, condiție pe care niciunul dintre firewall-urile afectate nu o îndeplinea.

Sursă: https://thehackernews.com/2026/10/attackers-exploit-fortios-flaw-to.html