PEERSTITCH Malware, FortiOS Açığından Yararlanarak VPN Oturumlarını Aşıyor

Yeni bir siber tehdit aktörü, Fortinet FortiOS'taki bir güvenlik açığını kullanarak daha önce rapor edilmemiş bir bellek tabanlı ARM64 zararlı yazılımı olan PEERSTITCH'i dağıttığı gözlemlendi. Bu saldırı, FortiOS, FortiPAM, FortiProxy ve FortiSwitchManager'ın komut satırı yorumlayıcısındaki bir yol geçişi açığını (CVE-2025-61624) istismar ediyor. Bu açık, yetkili bir saldırganın belirli komutlara özel olarak hazırlanmış argümanlar aracılığıyla dosyaları yazma veya silme yetkisi elde etmesine olanak tanıyor ve Fortinet tarafından Nisan 2026'da düzeltildi.

PEERSTITCH'in Özellikleri

PEERSTITCH, diskte kalıcı bir ikili dosya bırakmıyor, dinleme portları açmıyor ve dışa bağlantı başlatmıyor. Palo Alto Networks Unit 42 araştırmacıları, zararlı yazılımın, enfekte olmuş cihazda meşru süreçler tarafından üretilen trafik aracılığıyla iletişim kurduğunu belirtti. Bu durum, PEERSTITCH'in geleneksel uç nokta ve ağ tespitine karşı dirençli olmasını sağlıyor.

Siber güvenlik şirketi, bu aktiviteyi Eylül 2024'te bir telekomünikasyon yönetim hizmeti sağlayıcısına karşı gerçekleştirilen uzun süreli bir ağ ihlali sırasında keşfetti. Çok aşamalı ağ ihlali, CL-STA-0954 (diğer adıyla UNC5820) olarak takip ediliyor ve başlangıç erişimi, Fortinet FortiManager'daki kritik bir açık olan FortiJump (CVE-2024-47575) kullanılarak elde edildi.

Hedef Alınan Bilgiler ve Saldırı Aşaması

Saldırganların, cihazın başarılı bir şekilde ele geçirilmesinin ardından, 500'den fazla yönetilen FortiGate güvenlik duvarına ait bilgileri içeren bir arşivi dışarı çıkardıkları bildirildi. Elde edilen bilgiler arasında şunlar bulunuyor:

• FortiManager cihazının seri numarası ve kaydedilen her cihazla olan yönetim ilişkileri
• 500'den fazla yönetilen FortiGate güvenlik duvarının çalışma yapılandırma dosyaları
• Merkezi yönetim SQLite veritabanları
• 500'den fazla FortiGate seri numarasını ve bunların kamu IP adreslerini içeren envanter listesi
• İç ağ topolojisi haritaları, yönlendirme tabloları ve arayüz yapılandırmaları
• Şifreli yönetici, yerel ve SSL/VPN kimlik bilgileri
• Kamu sertifikaları ve özel anahtarlar dahil olmak üzere şifreli güven materyalleri

Bu çalınan bilgiler, ağ keşfi yapmak, uzun vadeli erişim sağlamak, ağ trafiğini kesmek ve yetkisiz FortiGate SSL/VPN oturumları kurmak için kullanıldı. Ayrıca, PEERSTITCH'i dağıtmak için ayrı bir ayrıcalık yükseltme açığından (CVE-2025-61624) yararlanıldı.

Saldırının Teknik Detayları

Zararlı yazılım, 64-bit Linux ARM64 yürütülebilir dosyası olarak C dilinde yazılmıştır. Dış bir sunucudan beş bileşeni indirmek için tasarlanmış bir otomatik betik içerir. Saldırının ana aşaması, bir yürütme gecikmesi sonrası başlar. Orkestratör olan "ipssem.js", "lldprx" adlı bir bileşeni başlatır ve bu, iki temel FortiOS daemon'u olan "/bin/miglogd" ve "/bin/iked" üzerinde bellek yamanması yapar.

Bu süreç, iki daemon ile ilişkili çalışan süreçleri bulur, bellek düzenini sıralar ve zararlı kodu enjekte eder. Bu aşamanın amacı, iki meşru FortiOS süreci arasında gizli bir bellek içi iletişim köprüsü oluşturmaktır.

Sonuç ve Tehdit Algısı

PEERSTITCH implantının keşfi, kenar cihaz zararlı yazılımlarının teknik olgunluğunun arttığını gösteriyor. Araştırmacılar, bu tür bir saldırının, merkezi kenar yönetim ekosistemlerinin aşağı yönlü ağları tehlikeye atma potansiyelini vurguladığını belirtiyor. Saldırganlar, kalıcı disk kalıntılarından kaçınarak ve süreç belleği içinde gizli bir iletişim köprüsü kurarak, geleneksel izleme yöntemlerinden kaçmayı başardılar.