L'unité 42 relie l'intrusion du MSP dans les télécommunications avec PEERSTITCH en mémoire et Fortinet

Réseaux Palo Alto Les chercheurs de l'unité 42 ont lié une intrusion dirigée contre un fournisseur de services de télécommunications géré à une chaîne d'attaques qui a abouti à la mise en œuvre d'un malware de mémoire résident pour Linux ARM64 appelé PIERRES. Selon l'analyse, les attaquants ont combiné l'engagement préalable d'une console de gestion centralisée avec l'exploitation d'une défaillance dans l'interpréteur de commande de produit Fortinet d'insérer du code directement dans la mémoire des processus légitimes, évitant ainsi les artefacts de disque évidents et les connexions réseau.

Faits confirmés: L'unité 42 décrit que la campagne, tracée comme CL-STA-0954 / UNC5820, a commencé avec l'exploitation de la vulnérabilité connue comme FortiJump (CVE-2024-47575) contre un FortiManager en septembre 2024, qui a permis l'exfiltration de configurations, bases de données et matériel cryptographique de plus de 500 FortiGate géré. Par la suite, les attaquants ont abusé d'une vulnérabilité à la traversée (CVE-2025-61624, CVSS 5.4 score) dans l'interprète de commande de plusieurs produits Fortinet - parés par Fortinet en avril 2026 - pour déployer PEERSTITCH. Le rapport technique du Groupe 42 résume ces observations et techniques de mise en œuvre; disponible sur le site du Groupe 42 pour plus de détails https: / / unit42.paloaltonetworks.com /. Fortinet a affiché des annonces et des correctifs sur son portail de sécurité des produits https: / / www.fortinet.com / support / sécurité des produits / dispositifs de sécurité.

Techniquement, PEERSTITCH est un binaire natif ARM64 écrit en C qui est déployé par un orchestre qui télécharge plusieurs composants (modules JavaScript / WebAssembly et un "core" natif). L'étape critique ne laisse pas de binaires persistants : un injecteur natif est attaché à deux démons de FortiOS - miglogd et iked - et modifie son espace mémoire opérationnel. La méthode rapportée utilise ptrace avec interruption d'exécution (PTRACE _ INTERRUPT), assigne des pages exécutables, écrit du code malveillant et redirige l'exécution du processus vers ce code injecté. Le résultat est porte de communication secrète entre les processus légitimes qui permet aux attaquants de marquer et de reconnaître des sessions VPN spécifiques pour sauter les contrôles et maintenir un accès discret. Pour le contexte technique sur la ptrace et la façon de gérer les processus d'exécution, voir la documentation du système: https: / / man7.org / linux / man-pages / man2 / ptrace.2.html.

La mise en œuvre décrite comprend les marques intégrées dans le trafic traité par miglogd (par exemple, un identifiant contenant une référence de port "8550" et la chaîne "169.254.0.1" comme un modèle; ce ne sont pas des ports ouverts ou des adresses attribuées, mais des symboles dans le trafic). Lors du processus iked sessions VPN, recherchez ces identifiants et prenez des itinéraires d'exécution alternatifs qui évitent les validations normales. De plus, les attaquants auraient utilisé des modules natifs d'Apache dans FortiGate pour établir un canal de commande et de contrôle basé sur SSH et seraient venus supplanter la console FortiManager pour extraire les configurations des appareils gérés.

Ce qui est confirmé est la méthodologie et les objectifs techniques: exfiltration de matériel sensible (configurations, clés et bases de données), établissement de la persistance cachée dans la mémoire, et abus de confiance dans la gestion centrale. Ce qui reste estimé ou ouvert à la vérification est l'identité finale de l'acteur et si d'autres vulnérabilités spécifiques ont été exploitées pour réaliser certaines phases de l'attaque; l'unité 42 mentionne d'autres défaillances possibles, mais indique des exigences supplémentaires pour l'enregistrement à FortiCloud pour l'exploitation dans certains vecteurs.

Conséquences pratiques La combinaison d'accès à des configurations et à des clés avec un implant mémoire permet aux attaquants de créer des sessions VPN non autorisées, d'intercepter du trafic chiffré et de se déplacer à l'intérieur des réseaux internes sans laisser de trace facile sur disque ou sur les commandes réseau conventionnelles. L'exposition des certificats et des clés privées compromet la confiance cryptographique de l'ensemble des périmètres et nécessite des interventions intensives (révolution des certificats, réédition des clés, révision des sessions VPN). En outre, le traitement des dossiers et la suppression des artefacts - l'achèvement du syslog, la suppression des dossiers de dépôt, la suppression automatique des comptes administratifs et des objets auto-scriptibles - compliquent les enquêtes judiciaires.

Recommandations concrètes et immédiates pour les gestionnaires et les entreprises qui utilisent Fortinet ou qui dépendent de fournisseurs gérés : parcez tous les appareils Fortinet touchés dès que possible et appliquez les mises à jour publiées par le fabricant (FortiOS, FortiManager, FortiPAM, FortiProxy, FortiSwitchManager). Il s'engage là où il y a des consoles de gestion exposées : répondre à des incidents qui comprennent l'acquisition de la mémoire volatile de machines potentiellement touchées, l'analyse de la mémoire judiciaire et le nettoyage ou la réinstallation d'applications compromises. Clés privées et certifiées qui ont été stockées dans FortiManager ou exportées par l'attaquant; révoquer et réémettre les identifiants administratifs et VPN. Restreindre l'accès aux consoles de gestion avec des contrôles d'accès avec liste blanche d'IP, MFA et segmentation réseau.

Pour la détection et l'atténuation opérationnelles, envisager d'activer et d'examiner immédiatement l'intégrité du processus et la vérification des appels système qui détectent les modifications de la mémoire ou les changements inhabituels; déployer des règles spécifiques dans le RDE pour surveiller les modifications critiques du processus (migrant, ike et équivalent) et surveiller les anomalies dans la production de log ou la télémétrie des enregistrements. Recherchez des indicateurs comme la suppression des objets autoscriptiques ou des comptes administratifs nouvellement créés et supprimés, ainsi que des modèles sur les charges utiles qui pourraient contenir les marques susmentionnées, même si leur détection est complexe parce qu'ils se cachent dans le trafic légitime.

Si vous êtes le client final d'un fournisseur de services géré, demandez des preuves de l'intégrité du gestionnaire central qui gère votre périmètre (registres de gestion, mises à jour des dossiers et vérifications des comptes). Envisager d'effectuer des vérifications indépendantes de la configuration et de la gestion des certificats. En cas de suspicion, coordonner avec une équipe d'intervention en cas d'incident et, le cas échéant, avec les autorités responsables de la gestion des lacunes.

Bref, cette intrusion illustre le risque supplémentaire de centralisation de la gestion des bords : un seul point compromis peut convertir des configurations et des secrets en un levier pour compromettre plusieurs réseaux. La technique d'injection de mémoire et la communication secrète entre les processus légitimes augmentent considérablement la difficulté de détection traditionnelle. Le stationnement immédiat, la rotation du matériel cryptographique et l'analyse de la mémoire médico-légale ne sont pas des étapes facultatives pour toute organisation touchée ou avec les dispositifs Fortinet exposés.