Einheit 42 verbindet MSP Eindringen von Telekommunikation mit PEERSTITCH im Speicher und Fortinet

Palo Alto Netzwerke Unit 42 Forscher haben eine Intrusion gegen einen verwalteten Telekommunikations-Dienstleister an eine Kette von Angriffen, die in der Implementierung einer wohnhaften Speicher Malware für Linux ARM64 genannt VERZEICHNIS. Laut der Analyse haben die Angreifer die vorherige Verpflichtung einer zentralisierten Management-Konsole mit der Ausnutzung eines Ausfalls im Produktbefehlsinterpreter Fortinet kombiniert, Code direkt in den Speicher legitimer Prozesse einzufügen, wodurch offensichtliche Disk Artefakte und Netzwerkverbindungen vermieden werden.

Konfirmierte Fakten: Unit 42 beschreibt, dass die Kampagne, die als CL-STA-0954 / UNC5820 zurückverfolgt wurde, mit der Ausbeutung der Schwachstelle, die als FortiJump (CVE-2024-47575) bekannt ist, gegen einen FortiManager im September 2024 begann, der die Exfiltration von Konfigurationen, Datenbanken und kryptographischem Material von mehr als 500 FortiGate verwaltete. Anschließend missbrauchten die Angreifer im Befehlsinterpreter von mehreren Fortinet-Produkten - von Fortinet im April 2026 - PEERSTITCH. Der technische Bericht von Unit 42 fasst diese Beobachtungen und Durchführungstechniken zusammen; verfügbar auf der Baustelle 42 für weitere Details https: / / unit42.paloaltonetworks.com /. Fortinet veröffentlichte Anzeigen und Patches auf seinem Produktsicherheitsportal https: / / www.fortinet.com / support / product-security / security-advices.

Technisch ist PEERSTITCH ein in C geschriebener ARM64 nativer Binär, der von einem Orchestrator eingesetzt wird, der mehrere Komponenten (JavaScript / WebAssembly Module und einen nativen "Core") herunterlädt. Die kritische Phase lässt keine persistenten Binäre: ein nativer Injektor ist an zwei Dämonen von FortiOS befestigt - miglogd und iked - und verändert seinen Arbeitsspeicherraum. Die gemeldete Methode verwendet ptrace mit Ausführungsunterbrechung (PTRACE _ INTERRUPT), ordnet ausführbare Seiten zu, schreibt schädlichen Code und leitet die Prozessausführung zu diesem injizierten Code um. Das Ergebnis ist verdeckte Kommunikationstür zwischen legitimen Prozessen die es Angreifern ermöglicht, bestimmte VPN-Sitzungen zu markieren und zu erkennen, um Kontrollen zu überspringen und diskreten Zugriff zu erhalten. Für den technischen Kontext auf ptrace und wie man mit laufenden Prozessen umgeht, siehe die Systemdokumentation: https: / / man7.org / linux / man-pages / man2 / ptrace.2.html.

Die beschriebene Implementierung umfasst Markierungen, die in dem von miglogd verarbeiteten Verkehr eingebettet sind (z.B. eine Kennung mit einer Portreferenz "8550" und der Kette "169.254.0.1" als Muster; diese sind keine offenen Ports oder zugewiesenen Adressen, sondern Symbole im Verkehr). Wenn iked Prozess VPN-Sitzungen, suchen Sie nach diesen Kennungen und nehmen Sie alternative Ausführung Routen, die normale Validierungen verlassen. Darüber hinaus nutzten die Angreifer angeblich die nativen Apache-Module in FortiGate, um einen Befehls- und Steuerkanal basierend auf SSH zu erstellen und die FortiManager-Konsole zu supplantieren, um Konfigurationen von verwalteten Geräten zu extrahieren.

Was bestätigt wird, ist die technische Methodik und Ziele: Exfiltration von sensiblem Material (Konfigurationen, Schlüssel und Datenbanken), Einrichtung versteckter Beharrlichkeit im Gedächtnis und Missbrauch von Vertrauen in die zentrale Verwaltung. Was nach wie vor geschätzt oder zur Überprüfung offen bleibt, ist die endgültige Identität des Schauspielers und wenn andere spezifische Schwachstellen ausgenutzt wurden, um bestimmte Phasen des Angriffs zu erreichen; Einheit 42 erwähnt andere mögliche Fehler, aber weist auf zusätzliche Anforderungen an die Registrierung in FortiCloud für die Ausbeutung in bestimmten Vektoren.

Praktische Konsequenzen: Die Kombination des Zugriffs auf Konfigurationen und Schlüssel mit einem Speicherimplantat ermöglicht Angreifern, unautorisierte VPN-Sitzungen zu erstellen, verschlüsselten Verkehr abzufangen und innerhalb interner Netzwerke zu bewegen, ohne auf Festplatte oder auf konventionellen Netzwerksteuerungen leicht zu verfolgen. Die Exposition von Zertifikaten und privaten Schlüsseln beeinträchtigt das kryptographische Vertrauen der gesamten Perimeter und erfordert intensive Antwortaktionen (Zertifikat Rotation, Key Reissue, VPN Session Review). Darüber hinaus erschwert die Bearbeitung von Aufzeichnungen und die Beseitigung von Artefakten - die Fertigstellung von Syslog, die Löschung von Fallaufzeichnungen, die automatische Beseitigung von Verwaltungskonten und Selbstbeschriftungsobjekten - die forensische Untersuchung.

Konkrete und unmittelbare Empfehlungen für Manager und Unternehmen, die Fortinet verwenden oder von verwalteten Lieferanten abhängen: alle betroffenen Fortinet-Geräte so schnell wie möglich abstellen und die vom Hersteller veröffentlichten Updates anwenden (FortiOS, FortiManager, FortiPAM, FortiProxy, FortiSwitchManager). Es ist ein Engagement, wo es exponierte Management-Konsolen gibt: reagieren auf Vorfälle, die die Erfassung von flüchtigen Speicher von potenziell betroffenen Maschinen, forensische Speicheranalyse und Reinigung oder Neuinstallation von kompromittierten Anwendungen umfassen. Private und zertifizierte Schlüssel, die in FortiManager gespeichert wurden oder vom Angreifer exportiert wurden; Verwaltungs- und VPN-Zulassungen widerrufen und wieder ausgeben. Beschränken Sie den Zugang zu Managementkonsolen mit Zugriffskontrollen mit weißer Liste von IP, MFA und Netzwerksegmentierung.

Bei der operativen Erkennung und Minderung der Prozesse sollten Sie sofort die Integrität und das System Call Audit aktivieren und überprüfen, die Ptrace oder ungewöhnliche Speicheränderungen erkennen; spezifische Regeln in der EDR zur Überwachung kritischer Prozessmodifikation (miglogd, iked und gleichwertig) und Anomalien in der Protokoll-Generation oder Protokoll-Telemetrie überwachen. Suchen Sie nach Indikatoren wie Entfernen von Autoscript-Objekten oder neu erstellten und gelöschten Verwaltungskonten sowie Mustern auf Nutzlasten, die die oben genannten Marken enthalten könnten, auch wenn ihre Erkennung komplex ist, weil sie sich im legitimen Verkehr verstecken.

Wenn Sie der Endkunden eines verwalteten Dienstleisters sind, bitten Sie um Beweise für die Integrität des zentralen Managers, der Ihren Umfang verwaltet (Managementprotokolle, Aktualisierungsprotokolle und Kontoaudits). Betrachten Sie die Durchführung unabhängiger Zertifikate Konfiguration und Management-Audits. In Verdachtsfällen koordinieren Sie mit einem Notfall-Reaktionsteam und gegebenenfalls mit den für die Verwaltung von Lücken zuständigen Behörden.

Kurz gesagt, diese Intrusion zeigt das zusätzliche Risiko der Zentralisierung der Kantenverwaltung: Ein einziger Kompromisspunkt kann Konfigurationen und Geheimnisse in einen Hebel umwandeln, um mehrere Netzwerke zu kompromittieren. Die Technik der Speicherinjektion und verdeckte Kommunikation zwischen legitimen Prozessen erhöhen die traditionelle Erkennungsschwierigkeit deutlich. Unmittelbare Parkplätze, kryptographische Materialdrehung und forensische Speicheranalyse sind nicht-optionale Schritte für jede betroffene Organisation oder mit exponierten Fortinet-Geräten.