Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

PEERSTITCH Malware Deployed via FortiOS Flaw Bypasses Checks on Tagged VPN Sessions

1 minute de lecture

Mis à jour :

Analyse de la menace : Le malware PEERSTITCH cible FortiOS

Une campagne sophistiquée, attribuée au groupe UNC5820, a été identifiée exploitant les écosystèmes de gestion Fortinet pour infiltrer des réseaux via le malware PEERSTITCH. Ce dernier se distingue par sa nature furtive, résidant uniquement en mémoire sans laisser de traces persistantes sur le disque.

Points clés

  • Mécanisme furtif : Le malware injecte du code dans les processus légitimes miglogd et iked de FortiOS. Il crée un pont de communication interne entre ces deux processus, permettant de détourner les sessions VPN sans ouvrir de ports réseau ou créer de fichiers suspects.
  • Extraction massive : Les attaquants ont compromis un FortiManager pour dérober des configurations, des clés cryptographiques et des informations réseau concernant plus de 500 pare-feu FortiGate.
  • Techniques d’évasion : Utilisation de ptrace pour manipuler la mémoire vive, suppression automatique des logs et des artefacts, et impersonation du serveur central pour commander les équipements distants.

Vulnérabilités exploitées

  • CVE-2024-47575 (FortiJump) : Faille critique permettant l’accès initial au FortiManager.
  • CVE-2025-61624 (Score CVSS 5.4) : Vulnérabilité de traversée de chemin dans l’interpréteur de commandes de FortiOS, FortiPAM, FortiProxy et FortiSwitchManager. Elle permet à un attaquant privilégié d’écrire ou de supprimer des fichiers arbitraires, facilitant ainsi l’injection de PEERSTITCH.

Recommandations

  • Mise à jour immédiate : Appliquer les correctifs de sécurité fournis par Fortinet pour l’ensemble des équipements (FortiOS, FortiManager).
  • Audit des accès : Révoquer et renouveler les identifiants, certificats et clés cryptographiques si une compromission du FortiManager est suspectée, ces éléments étant considérés comme compromis.
  • Surveillance accrue : Porter une attention particulière aux comportements anormaux des daemons système (miglogd, iked) et surveiller les tentatives d’exécution de scripts externes via des outils de gestion.
  • Hygiène réseau : Restreindre strictement l’accès aux interfaces de gestion des appareils et segmenter les réseaux pour limiter la portée en cas d’intrusion latérale.

Source

Vous pourriez aimer