Wprowadzenie do problemu / definicja
PEERSTITCH to zaawansowane złośliwe oprogramowanie wykorzystywane po skutecznym naruszeniu platformy FortiManager do utrzymania ukrytego dostępu do urządzeń FortiGate. Incydent pokazuje, że centralne systemy zarządzania infrastrukturą bezpieczeństwa stały się celem o krytycznym znaczeniu, ponieważ kompromitacja jednego węzła administracyjnego może przełożyć się na przejęcie kontroli nad setkami zapór sieciowych oraz środowiskami klientów.
W skrócie
Atak rozpoczął się od wykorzystania podatności CVE-2024-47575 w FortiManager, co umożliwiło uzyskanie dostępu do scentralizowanej platformy zarządzania. Następnie napastnicy wykradli archiwum konfiguracji obejmujące dane ponad 500 zarządzanych firewalli, w tym konfiguracje uruchomieniowe, materiał kryptograficzny oraz informacje o poświadczeniach.
W kolejnym etapie wykorzystano lukę CVE-2025-61624 do wdrożenia implantu PEERSTITCH w urządzeniach FortiGate. Malware działał w pamięci, nie pozostawiał trwałych artefaktów na dysku i utrudniał wykrycie przez tradycyjne mechanizmy bezpieczeństwa.
Kontekst / historia
Badana operacja dotyczyła wieloetapowego włamania do organizacji z sektora telekomunikacyjnego, a dokładniej do dostawcy usług zarządzanych. Kluczowym elementem incydentu było to, że FortiManager pełnił rolę centralnego punktu administracyjnego dla licznych urządzeń brzegowych, zarówno we własnej infrastrukturze operatora, jak i w środowiskach klientów.
W praktyce oznaczało to, że przejęcie pojedynczego systemu zarządzania nie ograniczało się do jednej organizacji. Napastnicy uzyskali dostęp do konfiguracji, certyfikatów, kluczy oraz danych uwierzytelniających powiązanych z setkami zapór. Taki scenariusz ma charakter zbliżony do incydentu łańcucha dostaw, ponieważ skutki naruszenia rozchodzą się poza granice podmiotu bezpośrednio zaatakowanego.
Analiza techniczna
Pierwszy etap ataku opierał się na luce CVE-2024-47575, znanej jako FortiJump. Podatność pozwalała nieuwierzytelnionemu atakującemu zarejestrować fałszywe urządzenie w FortiManagerze przez port TCP 541. Po uzyskaniu dostępu intruzi wyeksportowali archiwum zawierające istotne informacje operacyjne, takie jak numery seryjne, publiczne adresy IP, tablice routingu, dane VPN oraz materiał kryptograficzny relacji zaufania pomiędzy platformą zarządzającą a firewallami.
Kolejny krok polegał na wykorzystaniu poświadczeń odszyfrowanych z przejętych konfiguracji. Część haseł była przechowywana w postaci odwracalnie zaszyfrowanej, co umożliwiło atakującym zestawianie nieautoryzowanych sesji SSL/VPN do wewnętrznych segmentów administracyjnych. Dzięki temu faza rozpoznania przerodziła się w aktywny dostęp do kolejnych systemów.
W drugim etapie wykorzystano CVE-2025-61624, czyli błąd typu path traversal w mechanizmie auto-script FortiOS. W efekcie napastnicy wdrożyli implant PEERSTITCH. Był to binarny moduł ARM64 napisany w C, którego najważniejszą cechą była metoda działania oparta na pamięci operacyjnej, bez pozostawiania trwałego pliku wykonywalnego na dysku, bez otwierania portów nasłuchujących i bez inicjowania klasycznych połączeń wychodzących.
Zamiast tego implant osadzał się w pamięci dwóch legalnych procesów FortiOS związanych z logowaniem oraz usługą VPN. Komunikacja sterująca odbywała się przez legalny ruch przetwarzany przez te procesy. Mechanizm wykorzystywał wcześniej zaalokowaną pamięć i zapisy do przestrzeni procesów za pośrednictwem systemu plików /proc. Po wykryciu określonych znaczników w ruchu sieciowym malware przekazywał token sesyjny do procesu VPN, a następnie wymuszał alternatywną ścieżkę wykonania, omijając kontrole bezpieczeństwa systemu.
Takie podejście znacząco utrudnia wykrycie. Narzędzia analizujące integralność plików na dysku mogą nie znaleźć żadnych zmian, ponieważ kluczowe modyfikacje zachodzą wyłącznie w pamięci operacyjnej. Potencjalnym wskaźnikiem kompromitacji mogą być nietypowe regiony pamięci z uprawnieniami RWX lub ślady modyfikacji kodu w działających demonach systemowych.
Napastnicy wdrożyli również dodatkowy kanał sterowania, wykorzystując mechanizmy zarządzania certyfikatami w Apache. Polecenia systemowe były ukrywane w polu nazwy domeny w żądaniach walidacji certyfikatów, co pozwalało utrzymać komunikację zwrotną z użyciem legalnego procesu systemowego. Przed uruchomieniem złośliwych skryptów atakujący zatrzymywali procesy logujące i syslog, usuwali logi awarii oraz kasowali tymczasowe obiekty administracyjne i skrypty, aby ograniczyć widoczność operacji.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem incydentu nie była sama podatność, lecz utrata materiału zaufania kryptograficznego i konfiguracji dla setek urządzeń. Jeżeli atakujący wykradnie certyfikaty, klucze i dane uwierzytelniające z centralnej platformy zarządzania, samo załatanie FortiManagera nie eliminuje zagrożenia. Przejęte sekrety mogą pozostać ważne do czasu ich pełnej rotacji na wszystkich zarządzanych urządzeniach.
Dla operatorów MSSP i dużych organizacji wielooddziałowych ryzyko jest szczególnie wysokie. Jedno naruszenie może umożliwić przejęcie kontroli nad płaszczyzną zarządzania oraz dalszą eskalację dostępu do infrastruktury klientów i partnerów.
- podszywanie się pod platformę zarządzającą,
- nieautoryzowane logowanie do segmentów administracyjnych,
- modyfikację konfiguracji firewalli,
- wdrażanie kolejnych implantów w urządzeniach brzegowych,
- eskalację incydentu do środowisk klientów.
W praktyce kompromitacja management plane może prowadzić do szerokiej utraty poufności, integralności i kontroli operacyjnej nad infrastrukturą sieciową.
Rekomendacje
Organizacje korzystające z FortiManager i FortiGate powinny potraktować ten przypadek jako wzorzec zagrożenia dla centralnych systemów administracyjnych. Odpowiedź na incydent powinna obejmować zarówno działania naprawcze, jak i pełną ocenę wpływu na zaufanie do infrastruktury.
- Natychmiastowe zastosowanie poprawek dla FortiManager i FortiOS, jeśli nie zostały jeszcze wdrożone.
- Pełną rotację poświadczeń administracyjnych, haseł VPN, certyfikatów oraz kluczy kryptograficznych powiązanych z platformą zarządzania.
- Weryfikację, czy w środowisku nie występują nieautoryzowane urządzenia zarejestrowane w FortiManagerze.
- Analizę pamięci operacyjnej urządzeń FortiGate pod kątem anomalii w procesach logujących i VPN, zamiast ograniczania się wyłącznie do kontroli plików na dysku.
- Przegląd historii sesji SSL/VPN i połączeń do segmentów administracyjnych z nietypowych adresów źródłowych.
- Dodatkową segmentację oraz izolację interfejsów zarządzających zgodnie z zasadą zero trust.
- Ograniczenie dostępu do płaszczyzny zarządzania wyłącznie z zaufanych stref i przez silnie monitorowane kanały administracyjne.
- Włączenie detekcji behawioralnej dla nietypowych zmian w procesach systemowych, użycia /proc oraz prób ukrywania aktywności przez wyłączanie usług logowania.
- Przeprowadzenie oceny wpływu na klientów i partnerów, jeśli organizacja działa jako dostawca usług zarządzanych.
Podsumowanie
Incydent związany z PEERSTITCH pokazuje, że nowoczesne ataki na urządzenia bezpieczeństwa coraz częściej koncentrują się nie na bezpośrednim łamaniu pojedynczych firewalli, lecz na przejmowaniu platform zarządzających, które zapewniają dostęp do całych ekosystemów. Połączenie podatności w FortiManager i FortiOS z implantem działającym w pamięci dało napastnikom możliwość cichego, skalowalnego i trudnego do wykrycia przejęcia infrastruktury.
Najważniejszy wniosek jest operacyjny: sama aktualizacja oprogramowania po incydencie nie wystarcza, jeśli doszło do wycieku materiału kryptograficznego i poświadczeń. W takich przypadkach konieczne są pełna rotacja zaufania, zaawansowane dochodzenie powłamaniowe oraz traktowanie platform zarządzania jako zasobów o najwyższym priorytecie ochrony.