Wprowadzenie do problemu / definicja
Najświeższe analizy incydentów potwierdzają, że urządzenia brzegowe oraz platformy centralnego zarządzania pozostają jednym z najcenniejszych celów dla zaawansowanych grup APT. Szczególnie niebezpieczne są scenariusze, w których pojedyncze przełamanie systemu zarządzającego umożliwia przejęcie kontroli nad dużą liczbą urządzeń bezpieczeństwa działających w środowisku produkcyjnym.
Taki model ataku zaobserwowano w kampanii wymierzonej w organizację telekomunikacyjną. Wykorzystanie podatności CVE-2024-47575, określanej jako FortiJump, doprowadziło do kompromitacji FortiManagera, a następnie do wdrożenia ukrytego implantu PEERSTITCH na urządzeniach FortiGate.
W skrócie
Atakujący uzyskali dostęp do centralnej instancji FortiManager poprzez podatność FortiJump i wykradli archiwum konfiguracji zawierające dane o środowisku zarządzania oraz informacje o ponad 500 zaporach FortiGate. Następnie wykorzystali te informacje do manipulowania zaufaną komunikacją zarządczą i wdrożenia implantu działającego skrycie na urządzeniach końcowych.
- Punktem wejścia była podatność CVE-2024-47575 w FortiManager.
- Napastnicy pobrali archiwum konfiguracji i dane relacji zarządczych.
- Na FortiGate wdrożono implant PEERSTITCH działający głównie w pamięci.
- Kampania była ukierunkowana na sektor telekomunikacyjny.
- Skala incydentu wynikała z kompromitacji warstwy centralnego zarządzania.
Kontekst / historia
Środowiska telekomunikacyjne od lat znajdują się w centrum zainteresowania aktorów państwowych i grup prowadzących długoterminowe operacje wywiadowcze. Dostęp do takiej infrastruktury może oznaczać nie tylko możliwość obserwacji ruchu sieciowego, lecz także budowę pozycji do dalszych operacji przeciwko partnerom, klientom i elementom infrastruktury krytycznej.
W opisywanym przypadku kluczowe znaczenie miało to, że celem nie była pojedyncza zapora ani pojedynczy koncentrator VPN, lecz FortiManager, czyli platforma używana do centralnego zarządzania flotą urządzeń Fortinet. To zasadniczo zmienia skalę zagrożenia, ponieważ kompromitacja jednej warstwy administracyjnej może przełożyć się na wpływ na setki zależnych urządzeń.
Według opublikowanych ustaleń aktywność przypisano klastrowi śledzonemu jako UNC5820 lub CL-STA-0954. Charakter operacji, dobór technik poeksploatacyjnych i koncentracja na sektorze telekomunikacyjnym wskazują na dojrzałą kampanię szpiegowską.
Analiza techniczna
Pierwszym etapem operacji było wykorzystanie podatności CVE-2024-47575 w FortiManager. Po uzyskaniu dostępu napastnicy zarejestrowali nieautoryzowaną, wirtualną instancję FortiGate oraz pobrali archiwum konfiguracji z systemu centralnego. Taki pakiet danych miał bardzo wysoką wartość operacyjną, ponieważ obejmował informacje o konfiguracji, materiał kryptograficzny, zależności zarządcze i identyfikatory wielu urządzeń końcowych.
Następnie kluczową rolę odegrała manipulacja komunikacją pomiędzy FortiGate i FortiManager, realizowaną przez protokół FGFM. Dysponując danymi wykradzionymi z platformy zarządzającej, atakujący mogli odtwarzać zaufane relacje administracyjne i wiarygodnie podszywać się pod legalną komunikację. Badacze wskazali, że możliwe było zarówno podszycie się pod warstwę zarządzającą, jak i obejście części mechanizmów uwierzytelniania w łańcuchu komunikacji.
Po uzyskaniu wpływu na urządzenia końcowe wdrożono implant PEERSTITCH. Nie był to typowy plikowy backdoor pozostawiający oczywiste ślady na dysku, lecz implant ukierunkowany na pamięć procesów działających na FortiGate. Analizy wskazują na wstrzykiwanie kodu do procesów takich jak miglogd i iked, co znacząco utrudnia wykrycie i analizę powłamaniową.
PEERSTITCH został zaprojektowany tak, aby jego komunikacja sterująca zlewała się z normalnym ruchem HTTPS lub ruchem zarządczym. Dodatkowo wykorzystywał techniki maskujące oraz ścieżki przypominające legalne pliki konfiguracyjne. W praktyce oznacza to, że proste mechanizmy detekcyjne oparte wyłącznie na nazwach plików, obecności procesów czy klasycznych wskaźnikach IOC mogą okazać się niewystarczające.
W dalszej fazie kampanii napastnicy mieli również korzystać z legalnych poświadczeń do zestawiania nieautoryzowanych sesji SSL VPN. To sugeruje, że operacja nie ograniczała się do samego przejęcia urządzeń sieciowych, ale obejmowała także klasyczne przejęcie tożsamości oraz ruch boczny wspierany przez zaufane kanały dostępu.
Konsekwencje / ryzyko
Najpoważniejszą konsekwencją tego typu incydentu jest przełamanie granicy zaufania wokół urządzeń bezpieczeństwa. Jeśli przejęta zostaje zapora, koncentrator VPN lub system zarządzania nimi, organizacja może utracić pewność co do integralności polityk bezpieczeństwa, wiarygodności logów oraz poprawności filtrowania ruchu.
Ryzyko operacyjne rozciąga się na kilka warstw. Po pierwsze, napastnik może zdobyć szczegółową wiedzę o topologii sieci, tunelach VPN, certyfikatach i relacjach pomiędzy urządzeniami. Po drugie, może uzyskać trwały dostęp przez legalnie wyglądające kanały administracyjne. Po trzecie, kompromitacja jednego FortiManagera może przełożyć się na incydent obejmujący setki zapór FortiGate, a więc zarówno infrastrukturę operatora, jak i środowiska klientów zależnych od tego modelu zarządzania.
W sektorze telekomunikacyjnym skutki są szczególnie istotne. Taki dostęp może wspierać długotrwały wywiad techniczny, obserwację ruchu, identyfikację partnerów biznesowych oraz przygotowanie kolejnych etapów operacji przeciwko łańcuchowi dostaw i infrastrukturze krytycznej.
Rekomendacje
Organizacje korzystające z FortiManager i FortiGate powinny potraktować ten przypadek jako sygnał do pilnego przeglądu zaufania wobec całego łańcucha zarządzania. Priorytetem pozostaje niezwłoczne wdrożenie poprawek bezpieczeństwa dla FortiManager oraz wszystkich zarządzanych urządzeń, zgodnie z zaleceniami producenta.
Równolegle należy zweryfikować, czy w środowisku nie wystąpiły oznaki aktywności poeksploatacyjnej.
- Nieautoryzowana rejestracja urządzeń FortiGate.
- Pobranie pełnych konfiguracji przez nietypowe konta administracyjne.
- Komunikacja FGFM pochodząca z nieoczekiwanych adresów źródłowych.
- Podejrzane sesje SSL VPN zestawiane z zewnętrznej infrastruktury.
- Anomalie w procesach miglogd i iked.
- Ślady modyfikacji pamięci procesów lub zachowania wskazujące na techniki in-memory.
W warstwie architektonicznej warto ograniczyć ekspozycję interfejsów administracyjnych do wydzielonych sieci zarządczych, wdrożyć ścisłe listy kontroli dostępu dla komunikacji FortiManager–FortiGate oraz monitorować ruch na porcie 541 i innych kanałach używanych do centralnego zarządzania.
Dodatkowo zalecane jest przeprowadzenie pełnej rotacji poświadczeń administracyjnych i materiału kryptograficznego po incydencie, ponowne wygenerowanie certyfikatów i kluczy w razie podejrzenia wycieku oraz walidacja integralności konfiguracji urządzeń z wykorzystaniem zaufanych kopii referencyjnych. Restart urządzeń powinien następować wyłącznie w ramach kontrolowanego planu remediacji, aby nie doprowadzić do reinfekcji po usunięciu artefaktów jedynie z pamięci. Istotne jest także rozszerzenie detekcji o analizę zachowań, a nie tylko klasyczne IOC.
Podsumowanie
Przypadek PEERSTITCH i FortiJump pokazuje, że centralne platformy zarządzania urządzeniami bezpieczeństwa stały się celem o wyjątkowo wysokiej wartości dla zaawansowanych przeciwników. Kompromitacja FortiManagera może otworzyć drogę do przejęcia setek urządzeń FortiGate, a implant działający w pamięci znacząco utrudnia wykrycie oraz dochodzenie po incydencie.
Dla zespołów SOC, administratorów sieci i architektów bezpieczeństwa najważniejsza lekcja jest jasna: ochrona urządzeń brzegowych nie może kończyć się na aktualizacjach. Równie krytyczne jest zabezpieczenie systemów centralnego zarządzania, stała kontrola relacji zaufania między komponentami oraz zdolność do wykrywania subtelnych oznak manipulacji w legalnym ruchu administracyjnym.
Źródła
- SecurityWeek – Exploited Fortinet Bug Linked to Stealthy FortiGate Implant in Telecom Hack – https://www.securityweek.com/exploited-fortinet-bug-linked-to-stealthy-fortigate-implant-in-telecom-hack/
- Unit 42 – Unit 42 Uncovers PEERSTITCH, a Stealthy FortiGate Implant – https://unit42.paloaltonetworks.com/fortimanager-cve-2024-47575-peerstitch-malware/
- FortiGuard PSIRT – FG-IR-24-423 / CVE-2024-47575 – https://fortiguard.fortinet.com/psirt/FG-IR-24-423
- CISA – Urges Hardening Fortinet Devices After Reports of Credential Exposure – https://content.govdelivery.com/accounts/USDHSCISA/bulletins/41cb9c0
- SecurityWeek – Chinese Hackers Caught Deep Within Telecom Backbone Infrastructure – https://www.securityweek.com/chinese-hackers-caught-deep-within-telecom-backbone-infrastructure/