Un sofisticado actor de amenazas ha sido detectado explotando una vulnerabilidad en Fortinet FortiOS para desplegar un malware ARM64 previamente no documentado y residente en memoria, denominado PEERSTITCH.
El vector de ataque involucra CVE-2025-61624 (puntuación CVSS: 5.4), un fallo de path traversal en el intérprete de línea de comandos de FortiOS, FortiPAM, FortiProxy y FortiSwitchManager. Esta vulnerabilidad permitiría a un atacante con privilegios lograr escritura o eliminación arbitraria de archivos mediante argumentos especialmente diseñados para comandos existentes. Fortinet publicó el parche correspondiente en abril de 2026.
"PEERSTITCH no deja ningún binario persistente en disco, no abre puertos de escucha y no inicia conexiones de red salientes", señalaron los investigadores Daniel Gott y Shawn Westfall de Palo Alto Networks Unit 42. "En cambio, se comunica a través del tráfico generado por procesos legítimos en el host infectado, lo que hace que el malware sea resistente a la detección convencional de endpoints y redes".
La firma de ciberseguridad descubrió esta actividad durante su investigación prolongada de una intrusión de red contra un proveedor de servicios gestionados de telecomunicaciones ocurrida en septiembre de 2024. La intrusión multi-etapa se rastrea como CL-STA-0954 (también conocido como UNC5820), cuyo acceso inicial se obtuvo explotando una vulnerabilidad crítica en Fortinet FortiManager denominada FortiJump (CVE-2024-47575).
Tras comprometer el dispositivo, los atacantes exfiltraron un archivo que contenía configuraciones en ejecución, material criptográfico y bases de datos con información de más de 500 firewalls FortiGate gestionados. Los detalles recolectados incluyen:
- El número de serie del propio dispositivo FortiManager y sus relaciones de gestión con cada dispositivo inscrito.
- Archivos de configuración en ejecución de más de 500 firewalls FortiGate gestionados en infraestructura interna y redes de clientes.
- Bases de datos SQLite de gestión central.
- Un inventario que lista más de 500 números de serie de FortiGate junto con sus respectivas direcciones IP públicas.
- Mapas de topología de red interna, tablas de enrutamiento y configuraciones de interfaz.
- Credenciales administrativas, locales y SSL/VPN en texto cifrado.
- Material de confianza criptográfica codificado, incluidos certificados públicos y claves privadas.
La información robada se utilizó luego para realizar reconocimiento de red, establecer acceso a largo plazo, interceptar tráfico, configurar sesiones SSL/VPN no autorizadas en firewalls perimetrales FortiGate, desplegar backdoors y explotar una vulnerabilidad de escalada de privilegios separada (CVE-2025-61624) para desplegar PEERSTITCH.
PEERSTITCH es un ejecutable Linux ARM64 de 64 bits escrito en C. Incluye un auto-script diseñado para descargar cinco componentes desde un servidor externo ("23.240.77[.]233:8085"):
- pM.js, un script de preparación del entorno (autodestructivo).
- a.js (guardado como index.js), un módulo de tiempo de ejecución JavaScript de Emscripten.
- a.wasm (guardado como index.wasm), un módulo binario WebAssembly compilado.
- b.js (guardado como ipssem.js), un script orquestador de despliegue.
- dd (guardado como lldprx), un inyector de binario ELF ARM64 nativo (núcleo de PEERSTITCH).
La fase principal del ataque comienza tras un retraso en la ejecución. El orquestador ("ipssem.js") lanza "lldprx", que actúa como inyector de parcheo de memoria de procesos dirigido a dos daemonios centrales de FortiOS: "/bin/miglogd" y "/bin/iked".
Específicamente, localiza los procesos en ejecución asociados con ambos daemonios, enumera su diseño de memoria, se adjunta a ellos usando ptrace y detiene su ejecución con PTRACE_INTERRUPT, asigna memoria ejecutable, escribe código malicioso en ella y redirige la ejecución a través del código inyectado.
El objetivo final de este hooking es crear un "puente de comunicación encubierto y residente en memoria" entre los dos procesos legítimos de FortiOS, en lugar de utilizar una conexión de red convencional o un archivo, usándolos como cobertura para evadir la detección.
El hook de miglogd está diseñado para reconocer un marcador en los datos que pasan por el proceso. Incluye dos marcadores específicos:
- Marcador de puerto TCP: 8550 (incrustado dentro de los datos de tráfico, no es un puerto de escucha).
- Marcador de dirección IP: 169.254.0.1 (identificador link-local utilizado para coincidencia de patrones).
Una vez identificado este patrón, se pasa el token de sesión o identificador asociado al daemonio iked, cuyo hook busca posteriormente ese identificador mientras maneja sesiones VPN posteriores. Si dicha etiqueta existe dentro del búfer de inyección de esa sesión VPN, se toma una ruta de ejecución alternativa, evitando las validaciones de seguridad predeterminadas de FortiOS.
En otras palabras, los hooks inyectados en ambos procesos de FortiOS modifican cómo el daemonio VPN gestiona sesiones particulares.
Además del despliegue de PEERSTITCH, se observó a los atacantes estableciendo un canal de mando y control (C2) separado mediante el módulo nativo de Apache "mod_md" en firewalls FortiGate para generar un shell inverso basado en SSH.
"Los atacantes también se hicieron pasar por la plataforma FortiManager para extraer información de firewalls gestionados de otros hosts en la red objetivo", señalaron los investigadores. "Demostraron competencia en la arquitectura de dispositivos Fortinet, las interioridades de FortiOS y los protocolos de gestión de FortiOS".
Aunque no es concluyente, se sospecha que los atacantes podrían haber explotado otras vulnerabilidades como CVE-2024-26009 y CVE-2024-26008 para llevar a cabo esta tarea. Sin embargo, Unit 42 enfatizó que la explotación de estas vulnerabilidades requiere que el dispositivo esté inscrito en FortiGate Cloud/FortiCloud SSO, condición que ninguno de los firewalls afectados cumplía.
Además, se ha identificado que CL-STA-0954 emplea diversas medidas para eliminar artefactos forenses: terminación de la generación de syslog, borrado de registros de fallos, interrupción de la telemetría de registro y eliminación automática de cuentas de administrador no autorizadas y objetos de auto-script después de la ejecución.
"Esta intrusión resalta una amenaza creciente: el uso de ecosistemas de gestión centralizada de borde como arma para comprometer redes posteriores", dijo Unit 42. "El descubrimiento del implante PEERSTITCH demuestra la creciente madurez técnica del malware en dispositivos de borde".
"Al operar como un inyector de un solo uso, evitar artefactos persistentes en disco y construir un puente de comunicación encubierto entre procesos dentro de la memoria del proceso, los atacantes lograron persistencia sostenida mientras evadían la monitorización tradicional".
Deja una respuesta