Acteur avancé exploite une faille FortiOS pour déployer le malware PEERSTITCH

Selon les chercheurs de Palo Alto Networks Unit 42, Daniel Gott et Shawn Westfall, le malware ne laisse aucun binaire persistant sur disque, n'ouvre aucun port d'écoute et n'initie aucune connexion sortante. Il communique plutôt à travers le trafic généré par des processus légitimes sur l'hôte infecté, ce qui le rend résistant à la détection conventionnelle en endpoint et en réseau.

L'entreprise de cybersécurité a découvert cette activité dans le cadre d'une intrusion réseau prolongée contre un fournisseur de services gérés des télécommunications ayant eu lieu en septembre 2024. L'intrusion multi-stades est suivie sous le nom CL-STA-0954 (alias UNC5820), avec un accès initial obtenu en exploitant une faille critique Fortinet FortiManager surnommée FortiJump (CVE-2024-47575).

Après la compromission réussie de l'appliance, les attaquants auraient exfiltré une archive contenant des configurations en cours, du matériel cryptographique et des bases de données contenant des informations sur plus de 500 pare-feu FortiGate gérés. Certaines des données récoltées sont répertoriées ci-dessous.

Les informations volées ont ensuite été utilisées pour mener une reconnaissance réseau, établir un accès à long terme, intercepter le trafic réseau, créer des sessions SSL/VPN non autorisées sur des pare-feu périmétriques, déployer des backdoors et exploiter une vulnérabilité séparée d'escalade de privilèges (c'est-à-dire CVE-2025-61624) pour déployer PEERSTITCH.

Le malware est un exécutable 64-bit Linux ARM64 écrit en C. Il inclut un script auto conçu à télécharger cinq composants depuis un serveur externe ("23.240.77[.]233:8085").

La phase principale de l'attaque commence après un délai d'exécution. L'orchestrateur ("ipssem.js") lance "lldprx", qui sert ensuite d'injecteur de patching mémoire de processus ciblant deux daemons FortiOS centraux : "/bin/miglogd" et "/bin/iked".

Spécifiquement, il localise les processus associés aux deux daemons, énumère leur disposition mémoire, s'y attache en utilisant ptrace et interrompt leur exécution avec PTRACE_INTERRUPT, alloue de la mémoire exécutable et y écrit du code malveillant, et redirige l'exécution à travers le code injecté.

Le but final de cette étape de hooking est de créer un "pont de communication résidentiel en mémoire" couvert entre les deux processus légitimes FortiOS au lieu d'utiliser une connexion réseau conventionnelle ou un fichier, et de les utiliser comme couverture pour contourner la détection.

En particulier, le hook miglogd est équipé pour reconnaître un marqueur dans les données passant par le processus. Cela inclut deux marqueurs spécifiques.

Une fois ce modèle identifié, il transmet le jeton de session ou l'identifiant associé au daemon iked, dont le hook recherche ensuite cet identifiant tout en traitant les sessions VPN suivantes. Si un tel tag existe dans le buffer d'injection de cette session VPN, il prend un chemin d'exécution alternatif, contournant les validations de sécurité FortiOS par défaut.

Autrement dit, les hooks injectés dans les deux processus FortiOS modifient la manière dont le daemon VPN gère certaines sessions.

Outre le déploiement de PEERSTITCH, les attaquants ont été observés établir un canal de commande et contrôle (C2) séparé en exploitant le module natif Apache "mod_md" sur les pare-feu FortiGate afin de déclencher un shell inverse SSH.

"Les attaquants se sont fait passer pour la plateforme FortiManager pour extraire des pare-feu gérés d'autres hôtes dans le réseau ciblé", ont déclaré les chercheurs. "Les attaquants ont démontré une maîtrise de l'architecture d'appareil Fortinet, des internals de FortiOS et des protocoles de gestion FortiOS."

Bien que non définitif, on soupçonne que les attaquants auraient pu exploiter d'autres failles comme CVE-2024-26009 et CVE-2024-26008 pour accomplir cette tâche. Cependant, Unit 42 a souligné que l'exploitation de ces vulnérabilités nécessite que l'appareil soit inscrit dans FortiGate Cloud/FortiCloud SSO, ce que aucun des pare-feu affectés ne possédait.

En outre, CL-STA-0954 a été identifié comme menant diverses mesures pour supprimer les artefacts forensiques par la terminaison de la génération syslog, le nettoyage des journaux de plantage, la perturbation de la télémétrie de journalisation et la suppression automatique des comptes administrateurs rogue et des objets script après exécution.

"Cette intrusion met en lumière une menace croissante, l'arme des écosystèmes de gestion d'arête centrale pour compromettre des réseaux en aval", a déclaré Unit 42. "La découverte de l'implant PEERSTITCH démontre la maturité technique croissante du malware d'appareils d'arête."

"En opérant en tant qu'injecteur à un seul coup, en évitant les artefacts disque persistants et en construisant un pont de communication inter-processus couvert en mémoire, les attaquants ont atteint une persistance soutenue tout en évitant la surveillance traditionnelle."

L'Agence américaine de sécurité des infrastructures et de la sécurité (CISA), le 16 octobre 2026, a ajouté CVE-2025-61624 à son catalogue des vulnérabilités connues exploitées (KEV), obligeant les agences fédérales à appliquer les correctifs d'ici le 19 octobre 2026.