O PEERSTITCH é um implante com arquitetura ARM64 (arquitetura de processador de 64 bits) que reside na memória e foi usado contra firewalls FortiGate durante uma invasão prolongada a um provedor de serviços gerenciados de telecomunicações.
O malware sequestra processos legítimos do FortiOS, não deixa nenhum executável persistente, não abre portas de escuta e não inicia conexões de saída próprias.
A investigação, publicada em 14 de outubro, acompanha a atividade como CL-STA-0954, também conhecida como UNC5820.
Os pesquisadores não investigaram redes de clientes nem confirmaram comprometimentos de clientes finais.
O acesso inicial ocorreu por meio da CVE-2024-47575 (sigla de Common Vulnerabilities and Exposures, catálogo público de vulnerabilidades), falha de ausência de autenticação conhecida como FortiJump.
Os atacantes abusaram do canal de gerenciamento na porta TCP 541 (porta do Protocolo de Controle de Transmissão) e registraram um dispositivo virtual falso chamado localhost, usando o número de série FMG-VMTM23017412. Em seguida, exfiltraram um arquivo de configuração chamado .tm.
O arquivo continha configurações em execução, bancos de dados administrativos, topologia de rede, credenciais criptografadas, certificados e chaves privadas.
A Unit 42 confirmou que senhas administrativas e de VPN SSL (rede privada virtual com camada de sockets seguros) podiam ser recuperadas a partir das configurações roubadas.
Os atacantes depois usaram credenciais legítimas para estabelecer sessões de VPN não autorizadas a partir de infraestruturas que incluem 23.240.77[.]233 e 47.18.167[.]159.
Eles também enviaram configurações não autorizadas de captura de pacotes para firewalls gerenciados, com foco em tráfego HTTP (Protocolo de Transferência de Hipertexto) e em serviços como TFTP (Protocolo Trivial de Transferência de Arquivos), RADIUS (Serviço de Autenticação Remota de Discagem de Usuário) e LDAP (Protocolo Leve de Acesso a Diretórios).
Essas capturas deram suporte à interceptação de credenciais, ao monitoramento de autenticação e ao reconhecimento interno da rede.
A implantação dependeu da CVE-2025-61624, uma vulnerabilidade de travessia de caminho (path traversal) com privilégios elevados no interpretador de linha de comando da Fortinet.
Durante essa invasão, os atacantes exploraram nomes de objetos system.auto-script não higienizados para escapar dos diretórios previstos e executar um carregador com privilégios do sistema operacional subjacente.
Isso rompeu a fronteira entre a administração restrita do FortiOS e o controle de processos em nível de root (superusuário).
A Unit 42 afirmou, em relatório compartilhado com o GBhackers, que a invasão começou em setembro de 2024 com a exploração de um dispositivo centralizado FortiManager, expondo configurações e material criptográfico ligado a mais de 500 firewalls gerenciados.
Malware PEERSTITCH
A cadeia de preparação baixou JavaScript, WebAssembly e um injetor nativo ARM64 para o diretório /data2/template/. Chamado lldprx, o injetor, escrito em C e com link estático, teve como alvos o /bin/miglogd, responsável pelo registro de logs, e o /bin/iked, que cuida das negociações IKE (Troca de Chaves da Internet) e IPsec (Segurança do Protocolo de Internet).
Embora a preparação tenha envolvido arquivos em disco, o injetor apagou o próprio executável após a instalação.
Usando ptrace, o PEERSTITCH se anexou aos dois daemons, capturou seus estados de registradores e alocou regiões de memória anônima de 16.384 bytes com permissões de leitura, escrita e execução.
Em seguida, injetou uma carga útil de 1.344 bytes e modificou caminhos de execução para redirecionar rotinas legítimas para ganchos maliciosos.
Os ganchos inspecionam o tráfego existente dos processos em busca de marcadores embutidos, incluindo 8550 e 169.254.0.1. Esses valores eram apenas valores correspondentes, e não uma nova porta de escuta aberta nem um servidor de comando externo.
Os identificadores de sessão extraídos foram transferidos entre os daemons por meio de gravações diretas em /proc/<pid>/mem. Identificadores correspondentes acionaram, então, caminhos de execução alternativos dentro do iked, contornando as validações de segurança padrão.
Paralelamente ao PEERSTITCH, os atacantes armaram o módulo de gerenciamento de certificados mod_md, do Apache. Uma configuração ACME (Ambiente Automático de Gerenciamento de Certificados) maliciosa mapeou desafios DNS-01 (Sistema de Nomes de Domínio) para o /bin/node, possibilitando um shell reverso SSH (Shell Seguro).
Esse canal separado gerou comunicações de saída, diferentemente do mecanismo passivo e residente em processo do PEERSTITCH.
A Unit 42 também avaliou, com confiança média, a hipótese de personificação da plataforma de gerenciamento, mas não conseguiu distinguir a reutilização de material de confiança roubado da exploração da CVE-2024-26009.
Os defensores devem inspecionar o miglogd e o iked em busca de mapeamentos executáveis anônimos de 16 KB, gravações de memória entre processos, scripts automáticos com travessia de caminho e interrupções de registro sem explicação.
A Fortinet indica as versões FortiOS 7.4.10 e 7.6.5 como correções para a CVE-2025-61624. Credenciais, certificados e chaves de gerenciamento comprometidos precisam ser substituídos; apenas aplicar a correção não invalida a confiança roubada.
IOCs (indicadores de comprometimento)
Nota: endereços IP e domínios estão intencionalmente desfigurados (por exemplo, [.]) para evitar resolução ou links acidentais. A conversão para o formato original deve ser feita apenas em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM (Gerenciamento de Informações e Eventos de Segurança).
