Güvenlik · 18 Ekim 2026
PEERSTITCH Malware Kullanılarak FortiOS Açığından VPN Oturumları Geçerken İzlenmez
Bir şüpheli ileri düzey tehdit aktörü, FortiOS güvenlik açığını kullanarak taglanan VPN oturumlarını bypass ederek PEERSTITCH adlı bir bellekli ARM64 troyanağı yerleştirmişti. Bu saldırı, CVE-2025-61624 (CVSS: 5.4) adlı komut satırı yorumlayıcısında bulunan yol geçiş zafetini değerlendirmeyi sağladı. Fortinet, bu açığı Nisan 2026’da giderdi.
"PEERSTITCH sabit bir ikili dosya bırakmaz, dinleme bağlantısı açmaz ve dışarıdan ağ trafiği göndermez," Palo Alto Networks Unit 42 araştırmacılarından Daniel Gott ve Shawn Westfall ifade etti. "Malware, enfekte makinede yürüyen süreçlerin ürettiği trafiği kullanarak iletişim kurar, bu da gelen gelen güvenlik sistemlerine karşı dayanıklılığını artırır."
Saldırı, 2024 yılı Eylül ayında bir telekomünikasyon hizmet sağlayıcı ağına yönelttiği uzun süren bir ağ infiltasyonu kapsamında ortaya çıktı. Bu kampanya, CL-STA-0954 (UNC5820) adı altında izlenmektedir ve ilk erişim FortiManager’in kritik bir zafetinden (CVE-2024-47575) elde edilmiştir.
Acil sistemin ardından saldırganlar, 500’den fazla FortiGate güvenlik duvarının çalıştırma yapılandırmalarını, şifreleme maddelerini ve veritabanı dosyalarını çaldırmışlardır. Çaldırılan bilgiler, ağ keşif, uzun vadeli erişim, ağ trafiği dinleme ve yetkisiz FortiGate SSL/VPN oturumlarının kurulmasını mümkün kılan ek bilgiler içerdiyordu.
Bu veriler, PEERSTITCH’in dağıtılmasında kullanıldı. Malware, 64-bit Linux ARM64 bir C programı olup, dış bir sunucudan ("23.240.77[.]233:8085") beş bileşen indiren bir otomasyon betiği içerir.
Saldırının ana aşaması, yürütme gecikmesi sonrasında başlar. Orchestrator ("ipssem.js") "lldprx" adlı süreci hafızada yama yaparak iki temel FortiOS daemon’ını ("miglogd" ve "iked") hedef alır. Süreçler bulundurulur, hafıza yapısı listelenir, ptrace ile bağlanılır ve PTRACE_INTERRUPT ile durdurulur.
Ardından zararlı kod ekrana yazılır ve yürütme yönlendirme bu kod üzerinden yapılır. Bu adım, bir "gizli, bellekli iletişim köprüsü" oluşturmak amacıyla, ağ bağlantısı ya da dosya kullanmadan iki legitim FortiOS sürecinin birbirleriyle haberleşmesini sağlar.
"miglogd" kancası, veri akışında belirli bir işaret arayarak çalışır. İşaret iki özel işaret içerebilir.
Bu işaret algılandığında, ilgili oturum belirteci "iked" daemonına iletilir; daha sonra bu daemon, VPN oturumu işleme sürecinde bu belirteyi kontrol eder. İşaret bulunursa, FortiOS güvenlik doğrulamalarını atlayarak alternatif bir yol izlenir.
Bu, VPN daemonının bazı oturumlarda varsayılan güvenlik kontrollerini atlayarak çalışmasını sağlar.
Saldırganlar, ayrıca yerel Apache "mod_md" modülünü kullanarak FortiGate güvenlik duvarlarında bir SSH tabanlı ters shell C2 kanalı oluşturmuşlardır.
"Saldırganlar, FortiManager platformunu taklit ederek yönetilen diğer güvenlik duvarlarından da yapılandırmalar almışlardır," araştırmacılar ekledi. "Fortinet mimarisini ve FortiOS yönetim protokollerini iyi bilmektedirler."
Bu operasyon, CVE-2024-26009 ve CVE-2024-26008 gibi diğer zafetlerin de kullanılabileceği düşünüldü; ancak bu zafetlerin exploitationu için cihazın FortiGate Cloud/FortiCloud SSO’a kayıtlı olması gerekir ve etkilenmiş cihazlarda buna rastlanmadığı için kesin olarak kullanılmadığı söylenemez.
Saldırganlar, syslog üretimini durdurma, crash log temizleme, telemetri kesinti ve oturum yöneticisi hesaplarının otomatik silinmesi gibi forantik izlerini silme adımları da uyguladı.
"Bu infiltasyon, merkezileştirilmiş kenar yönetim ekosistemlerinin downstream ağları tehlikeye soktuğunu gösterir," Unit 42 ifade etti. "PEERSTITCH gömülü programının ortaya çıkması, kenar cihaz malwareinin teknik olarak artan olgunlaştığını ortaya koyar."
"Tekrar eden bir işlem olarak tek seferlik bir yamacı kullanarak, sabit disk izleri bırakmadan ve süreç hafızası içinde gizli bir iletişim köprüsü kurarak, saldırganlar sürdürülebilir bir varlık sağlamış ve gelen gelen izlemeleri circumvent etmişlerdir."
CISA, 2026-10-16 tarihinde CVE-2025-61624’ü Known Exploited Vulnerabilities (KEV) kataloğuna ekledi ve federasyon kurumlarına 2026-10-19 tarihine kadar düzeltme uygulamasını zorunlu kıldı.