Atakujący przez FortiManager wykradli konfiguracje ponad 500 zapór FortiGate i wdrożyli implant PEERSTITCH

Unit 42 opisał włamanie do dostawcy usług zarządzanych z branży telekomunikacyjnej: przez podatność w FortiManager atakujący zdobyli konfiguracje i klucze dla ponad 500 zapór, a potem wdrożyli implant działający w pamięci FortiOS.

Unit 42 opisał włamanie do dostawcy usług zarządzanych z branży telekomunikacyjnej, do którego doszło we wrześniu 2024 r. Atakujący wykorzystali podatnośćPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. CVE-2024-47575 w centralnym urządzeniu FortiManager i z tego jednego urządzenia wynieśli archiwum z konfiguracjami, materiałem kryptograficznym i bazami danych dotyczącymi ponad 500 zarządzanych zapór FortiGate. ZaporyZapora sieciowa Urządzenie albo program, które przepuszczają lub blokują ruch sieciowy według reguł. Oddzielają na przykład sieć biurową od sieci sterowników. chroniły infrastrukturę dostawcy i sieci jego klientów. Unit 42 badał tylko środowisko dostawcy, nie sieci klientów, więc ekspozycja dotyczy konfiguracji i poświadczeń, a nie potwierdzonego włamania do tych sieci.

Hasła administratorów i SSL/VPN były w konfiguracjach zapisane jako odwracalny szyfrogram, a Unit 42 potwierdził, że da się je odzyskać. Atakujący zestawiali z ich pomocą nieautoryzowane sesje SSL/VPN do zapór brzegowych. Drugą podatność, CVE-2025-61624, czyli przejście po ścieżkach w silniku system.auto-script systemu FortiOS, wykorzystali do wejścia z konta administratora na poziom root i wdrożenia PEERSTITCH. To implant ARM64 działający w pamięci: nie zostawia pliku na dysku, nie otwiera portów i nie inicjuje połączeń wychodzących. Wstrzykuje się do procesów miglogd i iked, a sesja VPNWirtualna sieć prywatna Virtual Private Network: szyfrowany tunel, którym pracownik albo oddział łączy się z siecią firmy przez internet. Brama VPN wystawiona do internetu to częsty cel ataków. z odpowiednim znacznikiem omija kontrole bezpieczeństwa FortiOS. Security Affairs zwraca uwagę, że Fortinet Integrity Checker Tool go nie wykryje, bo skanuje pliki na dysku.

Jeśli używasz FortiManager lub FortiGate, sprawdź wersje. GBHackers podaje za Fortinetem, że poprawką dla CVE-2025-61624 są wydania FortiOS 7.4.10 i 7.6.5. Cyber Security News zaleca przejrzenie zapisów z FortiManager i FortiGate pod kątem nieoczekiwanych rejestracji urządzeń, nieznanych kont administratorów, podejrzanych sesji VPN i wpisów auto-script zawierających ../../. Unit 42 wskazuje też, że implant można wykryć tylko w pamięci, po anonimowych obszarach z uprawnieniami odczytu, zapisu i wykonania w miglogd i iked.

Samo załatanie FortiManager nie cofa kradzieży. Security Affairs podaje za Unit 42, że skradziony materiał zaufania pozostaje ważny, dopóki nie zostanie zmieniony na każdym zarządzanym urządzeniu, więc trzeba wymienić poświadczenia, certyfikaty i klucze przechowywane na przejętej platformie zarządzania.

Aktualizacja z 18 października 2026

CVE-2025-61624 trafiło do katalogu Known Exploited Vulnerabilities prowadzonego przez CISACISA Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC.. Wpis obejmuje szerszy zakres produktów, niż podawał mój tekst: podatność dotyczy FortiOS, FortiPAM, FortiProxy i FortiSwitchManager. CISA opisuje ją jako przejście po ścieżkach, które pozwala uwierzytelnionemu atakującemu z profilem administratora i co najmniej uprawnieniami do odczytu i zapisu zapisywać lub usuwać dowolne pliki przez wybrane polecenia CLI.

CISA wskazuje termin wdrożenia działań na 19 października 2026 r. Wymaga zastosowania środków zaradczych zgodnie z instrukcją producenta oraz zgodności z BOD 26-04 i z wymaganiami „Forensics Triage Requirements”. Gdy środki zaradcze są niedostępne, wpis nakazuje zaprzestać używania produktu. Za ocenę ekspozycji każdego zasobu w internecie odpowiadają użytkownicy. Wykorzystanie w kampaniach ransomwareRansomware Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem. CISA określa jako nieznane. Biuletyn producenta ma numer FG-IR-26-122; jeśli używasz któregoś z wymienionych produktów, sprawdź w nim, czy Twoja wersja jest objęta podatnością.

Aktualizacja z 18 października 2026, godz. 13:27

PrivacySavvy, powołując się na Unit 42, dodaje szczegóły, których nie ma w moim tekście. Aktywność jest śledzona pod nazwami CL-STA-0954 i UNC5820, a CVE-2024-47575 bywa nazywane FortiJump. Biuletyn Fortinetu dla CVE-2025-61624 ukazał się w kwietniu 2026 r., a podatność ma ocenę CVSSCVSS Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach. 5.4. Pierwsze włamanie do FortiManager, z września 2024 r., poprzedziło więc biuletyn o wiele miesięcy.

Poza PEERSTITCH atakujący nadużyli modułu Apache mod_md, co dało im powłokę zwrotną przez SSH na przejętych zaporach. Podszywali się też pod platformę FortiManager, żeby pobierać ustawienia z kolejnych zarządzanych urządzeń. Implant wypatruje w ruchu znaczników, wśród nich portu 8550 i adresu 169.254.0.1. Po dopasowaniu przekazuje identyfikator sesji z jednego procesu do drugiego, a proces VPN sprawdza ten identyfikator w kolejnych sesjach i wtedy pomija zwykłe kontrole FortiOS.

Atakujący zacierali ślady: zatrzymywali procesy logujące, czyścili logi awarii, zakłócali telemetrię, a po każdym uruchomieniu usuwali nieautoryzowane konta administratorów i złośliwe obiekty skryptowe. PrivacySavvy zaleca przejrzenie kont administratorów, skryptów automatycznych i aktywności VPN, a ponieważ PEERSTITCH działa w pamięci, także sprawdzenie integralności procesów i pamięci pod kątem nieautoryzowanego wstrzykiwania kodu.

Źródła

• Palo Alto Networks Unit 42: Unit 42 Uncovers PEERSTITCH, a Stealthy FortiGate Implant
• The Hacker News: PEERSTITCH Malware Deployed via FortiOS Flaw Bypasses Checks on Tagged VPN Sessions
• Security Affairs: PEERSTITCH malware: How Attackers Compromised 500 Firewalls Through FortiManager
• GBHackers: New PEERSTITCH Malware Targets FortiGate Firewalls and Hides Inside System Memory
• Cyber Security News: Hackers Exploit Fortinet Vulnerabilities to Deploy Stealthy PEERSTITCH Malware on FortiGate Firewalls
• CISA Known Exploited Vulnerabilities: Fortinet Multiple Products: Fortinet Multiple Products Path Traversal Vulnerability (CVE-2025-61624)
• PrivacySavvy: New PEERSTITCH Malware Bypasses Security Checks on Fortinet VPNs

Pojęcia w tym tekście (6)

Podatność

Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.

Zapora sieciowa

Urządzenie albo program, które przepuszczają lub blokują ruch sieciowy według reguł. Oddzielają na przykład sieć biurową od sieci sterowników.

Wirtualna sieć prywatna

Virtual Private Network: szyfrowany tunel, którym pracownik albo oddział łączy się z siecią firmy przez internet. Brama VPN wystawiona do internetu to częsty cel ataków.

CISA

Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC.

Ransomware

Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem.

CVSS

Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 15 października 2026; tekst sprawdził i zatwierdził autor przed publikacją.