Sicherheit · 18. Oktober 2026
PEERSTITCH Malware über FortiOS-Schwachstelle deployed
Ein mutmaßlicher fortgeschrittener Bedrohungsakteur wurde dabei beobachtet, wie er eine Sicherheitslücke in Fortinet FortiOS ausnutzt, um PEERSTITCH Malware zu deployen. Die Schwachstelle ist CVE-2025-61624 mit CVSS Score 5.4. Die Schwachstelle ist ein Pfaddurchlauf-Fehler im Befehlszeilen-Interpreter von FortiOS, FortiPAM, FortiProxy und FortiSwitchManager. Sie ermöglicht einem privilegierten Angreifer das Ausführen von beliebigem Schreiben oder Löschen von Dateien über speziell gestaltete Argumente an bestehende Befehle. Fortinet patchte die Schwachstelle im April 2026. PEERSTITCH ist ein 64-Bit Linux ARM64 Malware-Programm, das sich im Speicher residiert und keine dauerhaften Binärdateien auf dem Datenträger hinterlässt. Die Malware kommuniziert über Traffic legitimer Prozesse und umgeht damit herkömmliche Endpunkt- und Netzwerk-Erkennung.
Die Entdeckung erfolgte im Rahmen eines langwierigen Netzwerkangriffs gegen einen Telekommunikations-Managed-Service-Provider im September 2024. Der Angriff wird als CL-STA-0954 (alias UNC5820) verfolgt. Der initiale Zugriff erfolgte über eine kritische Schwachstelle in FortiManager, bekannt als FortiJump (CVE-2024-47575). Nach erfolgreichem Kompromittieren der Appliance exfiltrierten die Angreifer ein Archiv mit Konfigurationsdateien, kryptografischen Materialien und Datenbankdateien von über 500 verwalteten FortiGate-Firewalls. Die gestohlenen Daten dienten zur Netzwerkrecherche, langfristigem Zugriff, Interception von Traffic und Einrichtung unautorisierter FortiGate SSL/VPN-Sitzungen. Anschließend wurde PEERSTITCH über die Schwachstelle CVE-2025-61624 deployed.
Die Malware nutzt zwei Prozesse, miglogd und iked, als Deckmantel für Kommunikation. Die Hooks in diesen Prozessen ändern, wie das VPN-Daemon bestimmte Sessions behandelt und umgehen so Sicherheitsvalidierungen. Zusätzlich richtete die Gruppe einen C2-Kanal über das native Apache mod_md Modul auf FortiGate-Firewalls ein, um einen SSH-basierten Reverse-Shell zu starten. Die Angreifer impersonierten die FortiManager-Plattform, um Konfigurationen von anderen Firewalls zu übernehmen. CISA fügte CVE-2025-61624 am 16. Oktober 2026 zur Known Exploited Vulnerabilities Catalog hinzu und forderte Bundesbehörden zur Behebung bis 19. Oktober 2026 auf.