Unit 42 liga intrusão em MSP de telecomunicações com PEERSTITCH em memória e Fortinet

Pesquisadores de Palo Alto Networks Unit 42 têm ligado uma intrusão dirigida contra um provedor de serviços gerenciados de telecomunicações a uma cadeia de ataques que culminou com a implantação de um malware residente em memória para Linux ARM64 chamado PEERSTITCH. Segundo a análise, os atacantes combinaram o compromisso prévio de uma consola de administração centralizada com a exploração de uma falha no intérprete de comandos de produtos Fortinet para inserir código diretamente na memória de processos legítimos, evitando assim artefatos em disco e conexões de rede evidentes.

Atos confirmados: Unit 42 descreve que a campanha, rastreada como CL-STA-0954 / UNC5820, começou com o aproveitamento da vulnerabilidade conhecida como FortiJump (CVE-2024-47575) contra um FortiManager em setembro de 2024, o que permitiu a exfiltração de configurações, bases de dados e material criptográfico de mais de 500 FortiGate geridos. Posteriormente, os atacantes abusaram de uma vulnerabilidade de path traversal (CVE-2025-61624, escore CVSS 5.4) no intérprete de comandos de vários produtos Fortinet (parcheada por Fortinet em abril de 2026) para implantar PEERSTITCH. O relatório técnico de Unit 42 resume estas observações e as técnicas de implantação; encontra-se disponível no sítio de Unit 42 para mais pormenores https://unit42.paloaltonetworks.com/. Fortinet publicou avisos e adesivos no seu portal de segurança de produtos https://www.fortinet.com/support/product-security/security-advisories.

Tecnicamente, PEERSTITCH é um executável nativo ARM64 escrito em C que se desdobra por um orquestrador que descarrega vários componentes (módulos JavaScript/WebAssembly e um “core” nativo). A etapa crítica não deixa binários persistentes: um injetor nativo é anexado a dois demônios de FortiOS (miglogd e iked) e modifica seu espaço de memória em execução. O método relatado usa ptrace com interrupção de execução (PTRACE_INTERRUPT), atribui páginas executáveis, escreve código malicioso e redirecione a execução do processo para esse código injetado. O resultado é uma porta de comunicação encoberta entre processos legítimos, que permite aos atacantes marcar e reconhecer sessões VPN específicas para saltar controles e manter acesso discreto. Para contexto técnico sobre ptrace e como permite manipular processos em execução, consulte a documentação do sistema: https://man7.org/linux/man-pages/man2/ptrace.2.html.

A implantação descrita inclui marcas incorporadas no tráfego processado por miglogd (por exemplo, um identificador que contém uma referência tipo porto “8550” e a cadeia “169.254.0.1” como padrão; estes não são portos abertos ou endereços atribuídos, mas sim signaturas em tráfego). Quando o iked processa as sessões VPN, você procura esses identificadores e leva rotas de execução alternativas que evadem as validações normais. Além disso, os atacantes teriam usado módulos nativos do Apache em FortiGate para estabelecer um canal de comando e controle baseado em SSH e chegaram a suplantar a consola FortiManager para extrair configurações de dispositivos gerenciados.

O que está confirmado é a metodologia técnica e as metas: exfiltração de material sensível (configurações, chaves e bases de dados), estabelecimento de persistência dissimulada em memória e abuso da confiança na gestão centralizada. O que ainda é estimativa ou aberto a verificação é a identidade definitiva do ator e se outras vulnerabilidades específicas foram exploradas para alcançar certas fases do ataque; Unit 42 menciona outras falhas possíveis, mas aponta requisitos adicionais de inscrição em FortiCloud para sua exploração em certos vetores.

Conseqüências práticas: a combinação de acesso a configurações e chaves com um implante em memória permite aos atacantes criar sessões VPN não autorizadas, interceptar tráfego criptografado, e mover-se dentro de redes internas sem deixar rastro fácil em disco ou nos controles de rede convencionais. A exposição de certificados e chaves privadas compromete a confiança criptográfica de perímetros inteiros e obriga a ações de resposta intensivas (rotação de certificados, reemissão de chaves, revisão de sessões VPN). Além disso, a manipulação de registros e a eliminação de artefatos —terminação de syslog, remoção de registros de queda, eliminação automática de contas administrativas e objetos de auto-script — complica a pesquisa forense.

Recomendações concretas e imediatas para administradores e empresas que usam Fortinet ou dependem de fornecedores gerenciados: adesivo quanto antes todos os dispositivos Fortinet afetados e aplique as atualizações publicadas pelo fabricante (FortiOS, FortiManager, FortiPAM, FortiProxy, FortiSwitchManager). Assume compromisso quando existam consoles de administração expostos: faça uma resposta a incidentes que incluam aquisição de memória volátil das máquinas potencialmente afetadas, análise forense de memória e limpeza ou reinstalação de appliances comprometidos. Rote chaves privadas e certificados armazenados em FortiManager ou exportados pelo atacante; revoque e volte a emitir credenciais administrativas e VPN. Restrinja o acesso a consoles de gestão com controles de acesso com lista branca de IP, MFA e segmentação de rede.

Para detecção e mitigação operacional, considere ativar e rever imediatamente integridade de processos e auditoria de chamadas ao sistema que detectem ptrace ou alterações de memória invulgares; implantação de regras específicas no EDR para monitorar a modificação de processos críticos (miglogd, iked e equivalentes) e supervise anomalias na geração de logs ou na telemetria de registros. Procure indicadores como remoção de objetos auto-script ou contas administrativas recém criadas e apagadas, bem como padrões em cargas úteis que poderiam conter as marcas mencionadas, mesmo quando sua detecção é complexa porque se escondem dentro de tráfego legítimo.

Se você é um cliente final de um prestador de serviços gerenciado, solicite evidência de integridade do gestor central que administra seu perímetro (logs de gestão, registros de atualizações e auditorias de contas). Considere realizar auditorias independentes de configuração e gestão de certificados. Em casos de suspeita, active a coordenação com uma equipa de resposta a incidentes e, se for caso disso, com as autoridades competentes para lidar com lacunas.

Em suma, esta intrusão ilustra o risco adicionado de centralizar a gestão de borda: um único ponto comprometido pode converter configurações e segredos em uma alavanca para comprometer múltiplas redes. A técnica de injeção em memória e a comunicação encoberta entre processos legítimos elevam significativamente a dificuldade de detecção tradicional. Parcheo imediato, rotação de material criptográfico e análise forense de memória são passos não opcionais para qualquer organização afetada ou com dispositivos Fortinet expostos.