FortiOS sotto assedio: PEERSTITCH aggira SSL VPN senza lasciare tracce su disco

Una nuova campagna di cyber attacco ha preso di mira dispositivi Fortinet sfruttando una vulnerabilita in FortiOS per distribuire PEERSTITCH, un malware ARM64 in memoria progettato per eludere i controlli su sessioni VPN contrassegnate. Il punto chiave e che PEERSTITCH non lascia un binario persistente su disco, non apre porte in ascolto e non avvia connessioni di rete in uscita.

Invece si nasconde dietro traffico generato da processi legittimi del sistema, rendendo piu difficile lidentificazione con strumenti tradizionali di endpoint security e network monitoring.

Lattacco e stato collegato a una intrusione multi fase contro un fornitore di servizi gestiti nel settore telecomunicazioni. Dopo la compromissione iniziale, gli aggressori avrebbero esfiltrato dati estremamente sensibili, inclusi file di configurazione operativi, database SQLite di gestione centrale, inventari con numeri di serie e indirizzi IP pubblici di centinaia di firewall FortiGate, mappe di topologia di rete, tabelle di routing, credenziali cifrate e materiale crittografico come certificati e chiavi private. Queste informazioni consentono una ricognizione accurata, lintercettazione del traffico e la creazione di accessi di lunga durata anche su firewall perimetrali tramite sessioni SSL VPN non autorizzate.

Per arrivare al deployment di PEERSTITCH viene sfruttata CVE 2025 61624, una path traversal nel command line interpreter di FortiOS e di altri prodotti Fortinet, che permette a un attaccante privilegiato di scrivere o cancellare file tramite argomenti costruiti ad hoc. Anche se la falla risulta corretta, la sua weaponization dimostra come vulnerabilita note possano restare un vettore efficace quando patching e hardening non sono completi.

Dal punto di vista tecnico, PEERSTITCH utilizza uno schema a componenti con script e moduli WebAssembly e un core injector ELF ARM64. Dopo un ritardo di esecuzione, linjector applica patch in memoria a due demoni centrali, miglogd e iked, usando ptrace per agganciare i processi, allocare memoria eseguibile, scrivere codice malevolo e dirottare il flusso di esecuzione. Il risultato e un canale di comunicazione covert tra processi legittimi, basato su marker riconoscibili nel traffico, come una porta 8550 incorporata nei dati e un identificatore IP link local 169 254 0 1. Quando la sessione VPN contiene il tag atteso, il demone VPN segue un percorso alternativo e aggira le validazioni di sicurezza predefinite.

Gli attaccanti avrebbero inoltre creato un canale C2 separato sfruttando moduli nativi per ottenere una reverse shell basata su SSH e adottato tecniche di anti forensics come soppressione dei log e cancellazione di artefatti e account non autorizzati.