Sicurezza · 18 ottobre 2026
Attori avanzati sfruttano una falla FortiOS per distribuire malware PEERSTITCH
Un attore minaccioso avanzato è stato osservato sfruttare una vulnerabilità di sicurezza in Fortinet FortiOS per distribuire un malware precedentemente non segnalato, residente in memoria, denominato PEERSTITCH. L'attacco coinvolge l'exploit di CVE-2025-61624 (punteggio CVSS: 5,4), un difetto di traversamento di percorso nell'interprete dei comandi di FortiOS, FortiPAM, FortiProxy e FortiSwitchManager che potrebbe consentire a un attaccante con privilegi di eseguire scrittura o eliminazione arbitraria di file tramite argomenti specifici a comandi esistenti. La falla è stata corretta da Fortinet nell'aprile 2026.
Secondo ricercatori di Unit 42 di Palo Alto Networks, Daniel Gott e Shawn Westfall, il malware "non lascia binari persistenti su disco, non apre porte in ascolto e non avvia connessioni di rete in uscita". Invece, comunica attraverso il traffico generato da processi legittimi sull'host infetto, rendendo il malware resistente alla rilevazione convenzionale degli endpoint e della rete. L'attività è stata scoperta nell'ambito di un prolungato intrusione di rete contro un provider di servizi gestiti di telecomunicazioni avvenuto a settembre 2024.
L'intrusione multi-stage viene tracciata come CL-STA-0954 (noto anche come UNC5820), con accesso iniziale ottenuto sfruttando una falla critica in Fortinet FortiManager denominata FortiJump (CVE-2024-47575). Dopo il compromesso dell'appliance, gli attaccanti avrebbero esfiltrato un archivio contenente configurazioni in esecuzione, materiale crittografico e database contenenti informazioni su oltre 500 firewall FortiGate gestiti. Alcuni dettagli raccolti sono elencati di seguito.
Le informazioni sottratte sono state utilizzate per condurre ricognizione di rete, stabilire accesso a lungo termine, intercettare il traffico di rete, impostare sessioni VPN non autorizzate sui firewall perimetrali, distribuire backdoor e sfruttare una vulnerabilità separata di escalata dei privilegi (CVE-2025-61624) per distribuire PEERSTITCH.
Il malware è un eseguibile Linux a 64 bit ARM64 scritto in C. Include uno script auto-progettato per scaricare cinque componententi da un server esterno ("23.240.77.233:8085").
La fase principale dell'attacco inizia dopo un ritardo di esecuzione. L'orchestrator ("ipssem.js") avvia "lldprx", che funge da iniettore di patching della memoria del processo che mira a due demoni core di FortiOS: "/bin/miglogd" e "/bin/iked".
Specificamente, individua i processi associati ai due demoni, ne enumera il layout di memoria, si collega ad essi usando ptrace e ne arresta l'esecuzione usando PTRACE_INTERRUPT, alloca memoria eseguibile e scrive codice malizioso al suo interno, e reindirizza l'esecuzione tramite il codice iniettato.
L'obiettivo finale di questo passaggio di hooking è creare un "ponte di comunicazione residente in memoria, occulta" tra i due processi legittimi di FortiOS invece di usare una connessione di rete convenzionale o un file, e usarli come copertura per eludere la rilevazione.
In particolare, l'hook su miglogd è in grado di riconoscere un marker nei dati che transitano nel processo. Questo include due marker specifici.
Una volta identificato tale modello, passa il token di sessione o l'identificativo associato al daemon iked, il cui hook cerca successivamente tale identificativo mentre gestisce sessioni VPN successive. Se tale tag esiste all'interno del buffer di iniezione di quella sessione VPN, adotta un percorso di esecuzione alternativo, bypassando le convalide di sicurezza predefinite di FortiOS.
In altre parole, gli hook iniettati nei due processi FortiOS modificano il modo in cui il daemon VPN gestisce particolari sessioni.
Oltre a distribuire PEERSTITCH, gli attaccanti sono stati osservati nell'istituire un canale separato di comando e controllo (C2) sfruttando il modulo nativo Apache "mod_md" sui firewall FortiGate per avviare una reverse shell basata su SSH.
"Gli attaccanti hanno impersonato la piattaforma FortiManager per prelevare dai firewall gestiti di altri host nella rete target," hanno affermato i ricercatori. "Gli attaccanti hanno dimostrato competenza nell'architettura degli appliance Fortinet, negli internals di FortiOS e nei protocolli di gestione di FortiOS."
Sebbene non definitivo, si sospetta che gli attaccanti possano aver sfruttato altre vulnerabilità come CVE-2024-26009 e CVE-2024-26008 per portare a termine questo compito. Tuttavia, Unit 42 ha sottolineato che sfruttare queste vulnerabilità richiede che il dispositivo sia iscritto a FortiGate Cloud/FortiCloud SSO, che nessuno dei firewall interessati possedeva.
Inoltre, CL-STA-0954 è stato identificato nell'eseguire varie misure per rimuovere artefatti forensi attraverso la terminazione della generazione syslog, la pulizia dei crash log, la interruzione del logging di telemetria e la cancellazione automatica degli account amministratori rogue e degli oggetti script dopo l'esecuzione.
"Questo intrusione evidenzia una minaccia in crescita, l'arma degli ecosistemi di gestione perimetrale centralizzati per compromettere reti downstream," ha affermato Unit 42. "La scoperta dell'implant PEERSTITCH dimostra la crescente maturità tecnica del malware per dispositivi perimetrali."
"Operando come iniettore a un colpo solo, evitando artefatti persistenti su disco e costruendo un ponte di comunicazione inter-processo occulta nella memoria del processo, gli attaccanti hanno ottenuto persistenza sostenuta evitando il monitoraggio tradizionale."
L'Agenzia per la Sicurezza Informatica e delle Infrastrutture (CISA), il 16 ottobre 2026, ha aggiunto CVE-2025-61624 al suo catalogo delle Vulnerabilità Note come Esplorate (KEV), richiedendo alle agenzie federali di applicare le correzioni entro il 19 ottobre 2026.