Um ator de ameaça avançado, suspeito de estar por trás da operação, foi observado explorando uma falha de segurança no Fortinet FortiOS para instalar o PEERSTITCH, um malware ARM64 residente na memória e até então desconhecido.
O ataque explora a
CVE-2025-61624
, que tem pontuação CVSS de 5,4. A falha de path traversal está no interpretador de linha de comando do FortiOS, FortiPAM, FortiProxy e FortiSwitchManager. Ela permite que um invasor com privilégios grave ou exclua arquivos arbitrariamente por meio de argumentos especialmente preparados para comandos existentes. A Fortinet corrigiu a vulnerabilidade em abril de 2026.
“O PEERSTITCH não deixa arquivos binários persistentes no disco, não abre portas para conexões de entrada e não inicia conexões de saída. Em vez disso, comunica-se por meio do tráfego gerado por processos legítimos no dispositivo infectado, o que torna o malware mais resistente aos mecanismos convencionais de detecção em endpoints e redes”, afirmaram Daniel Gott e Shawn Westfall, pesquisadores da Unit 42, da Palo Alto Networks.
A empresa de cibersegurança identificou a atividade durante uma investigação prolongada de uma intrusão de rede contra um provedor de serviços gerenciados de telecomunicações, ocorrida em setembro de 2024. A operação, realizada em várias etapas, é rastreada como CL-STA-0954, também conhecida como UNC5820. O acesso inicial foi obtido por meio da exploração de uma falha crítica no Fortinet FortiManager, chamada FortiJump (
CVE-2024-47575
).
Após comprometer o dispositivo, os invasores teriam extraído um arquivo compactado com configurações em execução, material criptográfico e bancos de dados. O conteúdo incluía informações sobre mais de 500 firewalls FortiGate gerenciados, entre elas:
- O número de série do próprio dispositivo FortiManager e suas relações de gerenciamento com todos os dispositivos cadastrados.
- Arquivos de configuração em execução de mais de 500 firewalls FortiGate gerenciados em redes internas e de clientes.
- Bancos de dados SQLite de gerenciamento centralizado.
- Uma lista com mais de 500 números de série de dispositivos FortiGate e seus respectivos endereços IP públicos.
- Mapas da topologia da rede interna, tabelas de roteamento e configurações de interfaces.
- Credenciais administrativas locais e credenciais de SSL/VPN, todas criptografadas.
- Material criptográfico de confiança codificado, incluindo certificados públicos e chaves privadas.
Os dados roubados foram usados para mapear a rede, estabelecer acesso de longo prazo, interceptar tráfego, criar sessões SSL/VPN não autorizadas em firewalls de perímetro FortiGate, instalar backdoors e explorar outra falha de elevação de privilégios, a
CVE-2025-61624
, para instalar o PEERSTITCH.
O malware é um executável Linux de 64 bits para ARM64, escrito em C. Ele inclui um script automático que baixa cinco componentes de um servidor externo, no endereço “23.240.77[.]233:8085”:
- `pM.js`, script de preparação do ambiente que se apaga após a execução.
- `a.js`, salvo como `index.js`, um módulo de execução JavaScript do Emscripten.
- `a.wasm`, salvo como `index.wasm`, um módulo binário compilado em WebAssembly.
- `b.js`, salvo como `ipssem.js`, um script que coordena a instalação.
- `dd`, salvo como `lldprx`, um injetor nativo de binários ELF ARM64 que contém o núcleo do PEERSTITCH.
A principal etapa do ataque começa após um intervalo de execução. O script coordenador, `ipssem.js`, inicia o `lldprx`, que atua como injetor para alterar a memória de dois processos centrais do FortiOS: `/bin/miglogd` e `/bin/iked`.
O injetor localiza os processos associados aos dois serviços, examina a organização da memória, conecta-se a eles usando `ptrace` e interrompe sua execução com `PTRACE_INTERRUPT`. Em seguida, aloca memória executável, grava nela código malicioso e redireciona a execução para esse conteúdo.
O objetivo é criar uma “ponte de comunicação clandestina, residente na memória” entre os dois processos legítimos do FortiOS, sem recorrer a uma conexão de rede convencional ou a arquivos. Dessa forma, os processos servem de disfarce para evitar a detecção.
O hook inserido no `miglogd` procura marcadores específicos nos dados que passam pelo processo:
- A porta TCP 8550, incorporada ao tráfego, mas não usada como porta de escuta.
- O endereço IP 169.254.0.1, um identificador de link local usado para encontrar padrões.
Quando identifica esses marcadores, o processo encaminha o token ou identificador da sessão ao serviço `iked`. O hook instalado nesse serviço procura o identificador durante o tratamento de sessões VPN posteriores. Se encontrar a marcação no buffer de injeção da sessão, segue um caminho alternativo de execução e contorna as verificações de segurança padrão do FortiOS.
Em outras palavras, os hooks inseridos nos dois processos alteram a maneira como o serviço de VPN trata determinadas sessões.
Além de instalar o PEERSTITCH, os invasores também estabeleceram um canal separado de comando e controle (C2). Para isso, aproveitaram o módulo nativo `mod_md`, do Apache, em firewalls FortiGate e iniciaram um reverse shell baseado em SSH.
“Os invasores também se passaram pela plataforma FortiManager para obter dados de firewalls gerenciados em outros dispositivos na rede visada”, disseram os pesquisadores. “A operação demonstrou domínio da arquitetura dos dispositivos Fortinet, dos componentes internos do FortiOS e dos protocolos de gerenciamento do sistema.”
Embora não haja confirmação, os invasores podem ter explorado outras falhas, como a
CVE-2024-26009
e a
CVE-2024-26008
, para realizar essa atividade. A Unit 42 ressaltou, porém, que a exploração dessas vulnerabilidades exige que o dispositivo esteja cadastrado no FortiGate Cloud/FortiCloud SSO, condição que nenhum dos firewalls afetados atendia.
A CL-STA-0954 também adotou medidas para remover vestígios forenses. Entre elas estavam interromper a geração de syslog, apagar registros de falhas, interferir na telemetria de logs e excluir automaticamente contas de administrador não autorizadas e objetos de scripts automáticos após a execução.
“Essa intrusão evidencia uma ameaça crescente: o uso de ecossistemas centralizados de gerenciamento de dispositivos de borda para comprometer redes conectadas”, afirmou a Unit 42. “A descoberta do implante PEERSTITCH demonstra a crescente sofisticação técnica dos malwares direcionados a dispositivos de borda.”
“Ao operar como um injetor de uso único, evitar deixar vestígios persistentes no disco e criar uma ponte clandestina de comunicação entre processos na memória, os invasores mantiveram o acesso ao sistema e escaparam do monitoramento tradicional.”
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...