安全 · 2026年10月19日
PEERSTITCH恶意软件通过FortiOS漏洞部署，绕过标记的VPN会话检查
一个被怀疑的高级威胁行为者被观察到利用Fortinet FortiOS中的安全漏洞，交付一种以前未报告的内存驻留ARM64恶意软件，称为PEERSTITCH。
此次攻击涉及利用CVE-2025-61624（CVSS评分：5.4），这是FortiOS、FortiPAM、FortiProxy和FortiSwitchManager命令行解释器中的路径遍历漏洞，可能允许特权攻击者通过特制参数实现任意写入或删除文件。Fortinet于2026年4月对此进行了修复。
网络安全公司Palo Alto Networks的研究人员表示，"PEERSTITCH不在磁盘上留下持久的二进制文件，不打开监听端口，也不发起出站网络连接。" 相反，它通过受感染主机上合法进程生成的流量进行通信，这使得该恶意软件抵御传统的端点和网络检测。
该活动被发现是其针对一家电信托管服务提供商的长期网络入侵的一部分，该入侵发生在2024年9月。该多阶段网络入侵被追踪为CL-STA-0954（又名UNC5820），最初通过利用被称为FortiJump的关键Fortinet FortiManager漏洞（CVE-2024-47575）获得访问权限。
攻击者在成功入侵设备后，被认为已经提取了一个包含运行配置、加密材料和包含超过500个托管FortiGate防火墙信息的数据库文件的档案。被盗信息随后被用于进行网络侦察，建立长期访问权限，拦截网络流量，设置未授权的FortiGate SSL/VPN会话，部署后门，并利用另一个特权提升漏洞（即CVE-2025-61624）来部署PEERSTITCH。