Seguridad · 19 de octubre de 2026
Actor avanzado explota falla en FortiOS para desplegar malware PEERSTITCH en sesiones VPN etiquetadas
Un actor de amenaza avanzado ha sido observado explotando una falla de seguridad en Fortinet FortiOS para desplegar un malware PEERSTITCH previamente no reportado y residente en memoria.
El ataque involucra la explotación de CVE-2025-61624 (puntuación CVSS: 5.4), una falla de recorrido de ruta en el intérprete de línea de comandos de FortiOS, FortiPAM, FortiProxy y FortiSwitchManager que podría permitir a un atacante con privilegios lograr escritura o eliminación arbitraria de archivos mediante argumentos especialmente diseñados a comandos existentes. Fue parcheado por Fortinet en abril de 2026.
Según investigadores de Palo Alto Networks Unit 42, Daniel Gott y Shawn Westfall, "PEERSTITCH no deja binario persistente en disco, no abre puertos de escucha y no inicia conexiones de red salientes". En su lugar, se comunica a través del tráfico generado por procesos legítimos en el host infectado, lo que hace al malware resistente a la detección convencional de endpoints y redes.
La empresa de ciberseguridad informó que descubrió la actividad como parte de una prolongada intrusión de red contra un proveedor de servicios gestionados de telecomunicaciones que ocurrió en septiembre de 2024. La intrusión de red de múltiples etapas se está rastreando como CL-STA-0954 (también conocido como UNC5820), con acceso inicial obtenido explotando una falla crítica en Fortinet FortiManager apodada FortiJump (CVE-2024-47575).
Tras el compromiso exitoso del appliance, los atacantes habrían exfiltrado un archivo que contiene configuraciones en ejecución, material criptográfico y bases de datos con información sobre más de 500 firewalls FortiGate gestionados. Algunos de los detalles robados son los siguientes:
La información robada luego se utilizó para realizar reconocimiento de red, establecer acceso a largo plazo, interceptar tráfico de red, configurar sesiones SSL/VPN no autorizadas en firewalls perimetrales, desplegar backdoors y explotar una vulnerabilidad separada de escalada de privilegios (es decir, CVE-2025-61624) para desplegar PEERSTITCH.
El malware es un ejecutable de 64 bits para Linux ARM64 escrito en C. Incluye un auto-script diseñado para descargar cinco componentes de un servidor externo ("23.240.77[.]233:8085").
La fase principal del ataque comienza después de un retraso de ejecución. El orquestador ("ipssem.js") lanza "lldprx", que luego sirve como inyector de parcheo de memoria de proceso que apunta a dos demonios principales de FortiOS: "/bin/miglogd" y "/bin/iked".
Específicamente, localiza los procesos asociados a los dos daemons, enumera su distribución de memoria, se adjunta a ellos usando ptrace y detiene su ejecución usando PTRACE_INTERRUPT, asigna memoria ejecutable y escribe código malicioso en ella, y redirige la ejecución a través del código inyectado.
El objetivo detrás de este paso de gancho es crear un "puente de comunicación residente en memoria encubierto" entre los dos procesos legítimos de FortiOS en lugar de usar una conexión de red convencional o un archivo, y usarlos como cobertura para eludir la detección.
En particular, el gancho en miglogd está equipado para reconocer un marcador en los datos que pasan por el proceso. Esto incluye dos marcadores específicos:
Una vez identificado ese patrón, pasa el token de sesión asociado o identificador al daemon iked, cuyo gancho más adelante busca ese identificador mientras maneja sesiones VPN posteriores. Si existe tal etiqueta dentro del buffer de inyección de esa sesión VPN, toma una ruta de ejecución alternativa, eludiendo las validaciones de seguridad predeterminadas de FortiOS.
En otras palabras, los ganchos inyectados en los dos procesos de FortiOS cambian cómo el daemon VPN maneja sesiones particulares.
Además de desplegar PEERSTITCH, los atacantes han sido observados estableciendo un canal de comando y control (C2) separado aprovechando el módulo nativo de Apache "mod_md" en firewalls FortiGate para spawnear una reverse shell basada en SSH.
"Los atacantes también se hicieron pasar por la plataforma FortiManager para extraer de firewalls gestionados de otros hosts en la red objetivo", dijeron los investigadores. "Los atacantes demostraron competencia en la arquitectura de dispositivos Fortinet, los internos de FortiOS y los protocolos de gestión de FortiOS".
Aunque no definitivo, se sospecha que los atacantes pudieron haber explotado otras fallas como CVE-2024-26009 y CVE-2024-26008 para llevar a cabo esta tarea. Sin embargo, Unit 42 enfatizó que explotar estas vulnerabilidades requiere que el dispositivo esté inscrito en FortiGate Cloud/FortiCloud SSO, lo que ninguno de los firewalls afectados tenía.
Además, CL-STA-0954 ha sido identificado como realizando diversas medidas para eliminar artefactos forenses mediante la terminación de la generación de syslog, limpieza de registros de fallos, interrupción de telemetría de registro y eliminación automática de cuentas de administradores administradores y objetos de auto-script después de la ejecución.
"Esta intrusión destaca una amenaza creciente, la weaponization de ecosistemas de gestión de borde centralizados para comprometer redes downstream", dijo Unit 42. "El descubrimiento del implant PEERSTITCH demuestra la creciente madurez técnica del malware de dispositivos de borde".
"Al operar como un inyector de un solo uso, evitando artefactos persistentes en disco y construyendo un puente de comunicación inter-procesos encubierto en la memoria del proceso, los atacantes lograron persistencia sostenida mientras eludían el monitoreo tradicional".
La Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA), el 16 de octubre de 2026, añadió CVE-2025-61624 a su catálogo de Vulnerabilidades Conocidas para su Explotación (KEV), exigiendo a las agencias federales aplicar las correcciones para el 19 de octubre de 2026.