PEERSTITCH implantı, saldırganların VPN oturumlarını FortiGate denetimlerinden geçiriyor

Palo Alto Networks'ün tehdit araştırma birimi Unit 42, Fortinet FortiGate güvenlik duvarlarında bellekte çalışan ve saldırganların işaretlediği VPN oturumlarının FortiOS'un varsayılan güvenlik doğrulamalarını atlamasını sağlayan PEERSTITCH adlı gizli bir implantı ortaya çıkardı. Araştırmacılar Daniel Gott ve Shawn Westfall'un 14 Ekim'de yayımlanan raporuna göre zararlı yazılım, CL-STA-0954 (UNC5820) olarak izlenen ve bir telekomünikasyon yönetilen hizmet sağlayıcısında uzun süre devam eden bir sızma sırasında tespit edildi. Olay, ele geçirilen merkezi bir yönetim platformunun yüzlerce alt ağı nasıl riske atabileceğini gösteriyor.

Neler oldu?

Unit 42'ye göre sızma Eylül 2024'te, saldırganların FortiJump olarak bilinen FortiManager açığını (CVE-2024-47575) istismar edip sahte bir sanal FortiGate kaydetmesiyle başladı. Saldırganlar ardından yönetilen 500'ü aşkın FortiGate güvenlik duvarına ait yapılandırmaları, kimlik bilgilerini, sertifikaları, özel anahtarları ve ağ topolojisi verilerini içeren bir arşiv oluşturup dışarı çıkardı. Rapora göre uzun bir bekleme döneminin ardından alt güvenlik duvarlarına trafik dinleme yapılandırmaları gönderdiler, ele geçirdikleri kimlik bilgileriyle SSL VPN erişimi sağladılar ve diğer cihazlara ulaşmak için FortiManager'ı taklit ettiler.

The Hacker News'in aktardığına göre saldırganlar root yetkisi almak ve implantı yüklemek için Fortinet'in Nisan 2026'da yamaladığı, FortiOS komut satırı yorumlayıcısındaki dizin geçişi açığı CVE-2025-61624'ü kullandı. Unit 42 etkinliği belirli bir ülkeye veya adlandırılmış bir gruba bağlamadı; yalnızca hizmet sağlayıcının kendi ortamını incelediğini, müşterilerinin ağlarını incelemediğini belirtti.

Teknik detaylar

Unit 42, PEERSTITCH'i C ile yazılmış, statik bağlanmış bir ARM64 Linux çalıştırılabilir dosyası ve tek seferlik bir ptrace enjektörü olarak tanımlıyor. Zararlı, /bin/miglogd kayıt sürecine ve /bin/iked IKE/IPsec sürecine bağlanıyor, 16 KB'lık çalıştırılabilir bir bellek alanı ayırıyor ve bu süreçlerin kodunu değiştiriyor. The Hacker News'e göre implant diskte kalıcı dosya bırakmıyor, dinleme portu açmıyor ve dışarıya bağlantı başlatmıyor. İki kanca /proc/<pid>/mem üzerinden haberleşerek VPN oturumlarını işaretliyor; böylece iked, varsayılan denetimleri atlayan alternatif bir yol izliyor. Saldırganlar ayrıca FortiGate cihazlarındaki Apache mod_md modülünü SSH tabanlı ters kabuk için kötüye kullandı ve izlerini gizlemek için kayıt mekanizmalarını bozdu.

Ne yapmalı?

Kurumlar FortiOS'un CVE-2025-61624'e, FortiManager'ın ise CVE-2024-47575'e karşı yamalı olduğundan emin olmalı. Unit 42, yama yapmanın tek başına sızmayı sona erdirmediğini vurguluyor: Ele geçirilmiş bir yönetim platformunda tutulan kimlik bilgileri, sertifikalar ve diğer kriptografik materyaller tehlikede kabul edilip yenilenmeli, yönetim arayüzleri yalıtılmalı. Araştırmacılar tehdit avı için miglogd ve iked süreçlerinde 16.384 baytlık anonim rwxp bellek alanlarını, iki süreç arasında /proc/<pid>/mem dosyasına yapılan yazmaları, diagnose debug crashlog read çıktısındaki Signal 11 çökmelerini ve ../ dizesi içeren auto-script nesnelerini aramayı öneriyor. Raporda 23.240.77[.]233 ve 45.32.41[.]202 dahil ağ göstergeleri, dosya özetleri ve bir YARA kuralı yer alıyor.