В сентябре 2024 года злоумышленники атаковали поставщика управляемых телекоммуникационных услуг и получили доступ к устройству FortiManager, воспользовавшись критической уязвимостью CVE-2024-47575, известной как FortiJump. Позднее они развернули PEERSTITCH — ранее не описанный имплант для систем ARM64. Операцию Palo Alto Networks Unit 42 отслеживает под обозначением CL-STA-0954, также известным как UNC5820.
Доступ к FortiManager позволил собрать сведения о его связях с подключёнными устройствами и конфигурации более 500 управляемых межсетевых экранов FortiGate во внутренней инфраструктуре и сетях клиентов. Среди похищенного были базы SQLite центрального управления, серийные номера более 500 FortiGate с соответствующими публичными IP-адресами, схемы внутренней сети, таблицы маршрутизации и конфигурации интерфейсов. Злоумышленники также получили зашифрованные административные, локальные и SSL/VPN-учётные данные, а также закодированные материалы криптографического доверия, включая открытые сертификаты и закрытые ключи.
Собранные данные использовали для разведки сети, закрепления в инфраструктуре, перехвата трафика, создания несанкционированных SSL/VPN-сессий FortiGate к межсетевым экранам периметра и установки бэкдоров. Unit 42 допускает, что злоумышленники могли использовать и CVE-2024-26009 с CVE-2024-26008, чтобы выдать себя за FortiManager и извлечь сведения с управляемых устройств. Это предположение не подтверждено: эксплуатация этих ошибок требовала бы регистрации устройства в FortiGate Cloud/FortiCloud SSO, но ни один из затронутых межсетевых экранов там зарегистрирован не был.
Для установки PEERSTITCH применили CVE-2025-61624 — уязвимость обхода путей в командном интерпретаторе FortiOS, FortiPAM, FortiProxy и FortiSwitchManager. Она позволяет атакующему с привилегиями записывать или удалять произвольные файлы, передавая специально сформированные аргументы существующим командам; оценка CVSS — 5,4. Fortinet выпустила исправление в апреле 2026 года. 16 октября 2026 года Агентство США по кибербезопасности и защите инфраструктуры (CISA) внесло CVE-2025-61624 в каталог известных эксплуатируемых уязвимостей KEV; федеральным ведомствам предписали установить исправления до 19 октября.
PEERSTITCH — 64-разрядная программа для Linux ARM64, написанная на C. Встроенный сценарий загружает с адреса 23.240.77[.]233:8085 пять компонентов:
Инжектор находит процессы FortiOS
Обход проверок начинается в
Перехватчик в
Помимо PEERSTITCH, атакующие создали отдельный канал управления: использовали штатный модуль Apache
Исследователи Unit 42 Дэниел Готт и Шон Уэстфолл отметили, что атака показывает, как компрометация централизованных систем управления периферийной инфраструктурой может открыть путь в подключённые к ним сети. По оценке Unit 42, PEERSTITCH демонстрирует рост технической сложности вредоносных программ для сетевых устройств: имплант работает как одноразовый инжектор, избегает постоянных файловых следов и связывает процессы внутри памяти, оставаясь вне поля зрения традиционного мониторинга.
Изображение носит иллюстративный характер
Доступ к FortiManager позволил собрать сведения о его связях с подключёнными устройствами и конфигурации более 500 управляемых межсетевых экранов FortiGate во внутренней инфраструктуре и сетях клиентов. Среди похищенного были базы SQLite центрального управления, серийные номера более 500 FortiGate с соответствующими публичными IP-адресами, схемы внутренней сети, таблицы маршрутизации и конфигурации интерфейсов. Злоумышленники также получили зашифрованные административные, локальные и SSL/VPN-учётные данные, а также закодированные материалы криптографического доверия, включая открытые сертификаты и закрытые ключи.
Собранные данные использовали для разведки сети, закрепления в инфраструктуре, перехвата трафика, создания несанкционированных SSL/VPN-сессий FortiGate к межсетевым экранам периметра и установки бэкдоров. Unit 42 допускает, что злоумышленники могли использовать и CVE-2024-26009 с CVE-2024-26008, чтобы выдать себя за FortiManager и извлечь сведения с управляемых устройств. Это предположение не подтверждено: эксплуатация этих ошибок требовала бы регистрации устройства в FortiGate Cloud/FortiCloud SSO, но ни один из затронутых межсетевых экранов там зарегистрирован не был.
Для установки PEERSTITCH применили CVE-2025-61624 — уязвимость обхода путей в командном интерпретаторе FortiOS, FortiPAM, FortiProxy и FortiSwitchManager. Она позволяет атакующему с привилегиями записывать или удалять произвольные файлы, передавая специально сформированные аргументы существующим командам; оценка CVSS — 5,4. Fortinet выпустила исправление в апреле 2026 года. 16 октября 2026 года Агентство США по кибербезопасности и защите инфраструктуры (CISA) внесло CVE-2025-61624 в каталог известных эксплуатируемых уязвимостей KEV; федеральным ведомствам предписали установить исправления до 19 октября.
PEERSTITCH — 64-разрядная программа для Linux ARM64, написанная на C. Встроенный сценарий загружает с адреса 23.240.77[.]233:8085 пять компонентов:
pM.js, который подготавливает среду и удаляет себя; a.js, сохраняемый как index.js; модуль WebAssembly a.wasm, сохраняемый как index.wasm; сценарий-координатор b.js, сохраняемый как ipssem.js; и нативный ARM64-инжектор dd, сохраняемый как lldprx. Именно lldprx служит ядром импланта. После задержки ipssem.js запускает его. Инжектор находит процессы FortiOS
/bin/miglogd и /bin/iked, изучает их карту памяти и подключается к ним через ptrace. Затем он приостанавливает выполнение командой PTRACE_INTERRUPT, выделяет исполняемую область памяти, записывает туда вредоносный код и перенаправляет на него выполнение. Так между двумя штатными процессами появляется скрытый канал связи. PEERSTITCH не оставляет постоянного исполняемого файла на диске, не открывает порт для входящих соединений и не устанавливает собственных исходящих сетевых соединений: обмен проходит через трафик легитимных процессов устройства. Обход проверок начинается в
miglogd. Внедрённый туда перехватчик ищет в проходящих данных маркеры: номер TCP-порта 8550 и IP-адрес 169.254.0.1. Порт 8550 здесь не прослушивается — его значение встроено в данные и служит признаком. Адрес 169.254.0.1 используется как идентификатор для сопоставления. Обнаружив нужный шаблон, перехватчик передаёт связанный с ним токен или идентификатор процессу iked. Перехватчик в
iked ищет этот идентификатор при обработке следующих VPN-сессий. Если он присутствует в буфере внедрения сессии, демон выбирает альтернативный путь выполнения и обходит штатные проверки безопасности FortiOS. В результате меняется обработка помеченных сессий, хотя обычного сетевого канала управления у импланта нет. Помимо PEERSTITCH, атакующие создали отдельный канал управления: использовали штатный модуль Apache
mod_md на межсетевых экранах FortiGate, чтобы запустить обратную оболочку SSH. Они также выдавали себя за платформу FortiManager и извлекали сведения с управляемых межсетевых экранов других узлов целевой сети. Для сокрытия следов злоумышленники останавливали генерацию syslog, очищали журналы сбоев, нарушали передачу телеметрии, а после выполнения автоматически удаляли поддельные учётные записи администраторов и объекты auto-script. Исследователи Unit 42 Дэниел Готт и Шон Уэстфолл отметили, что атака показывает, как компрометация централизованных систем управления периферийной инфраструктурой может открыть путь в подключённые к ним сети. По оценке Unit 42, PEERSTITCH демонстрирует рост технической сложности вредоносных программ для сетевых устройств: имплант работает как одноразовый инжектор, избегает постоянных файловых следов и связывает процессы внутри памяти, оставаясь вне поля зрения традиционного мониторинга.
