Aktuelle Berichte von Cybersicherheitsunternehmen zeigen, dass eine vermutlich staatlich unterstützte Bedrohungsgruppe (bekannt als UNC5820 oder CL-STA-0954) im September 2024 komplexe Angriffe auf eine Organisation im Telekommunikationssektor durchführte und über einen längeren Zeitraum Zugriff auf die Umgebung des Opfers behielt.
In der Phase des Erstzugriffs nutzten die Angreifer eine kritische Schwachstelle zur Remote-Codeausführung im FortiManager-System aus, die unter der Kennung CVE-2024-47575 verfolgt wird und als FortiJump-Schwachstelle bekannt ist. Diese wurde im Oktober 2024 als Zero-Day-Schwachstelle behoben. Der Angriff umfasste zudem die Ausnutzung einer weiteren Schwachstelle zur Pfadumgehung mit der Kennung CVE-2025-61624, die mehrere Produkte von Fortinet betrifft. Dies ermöglichte es den Angreifern, beliebige Dateien zu schreiben oder zu löschen und Root-Rechte auf dem Betriebssystem der Firewall zu erlangen.
Einsatz der Schadsoftware PeerStitch
Die Ausnutzung der Fortinet-Schwachstellen führte zur Verbreitung einer neuen und bisher unbekannten Schadsoftware namens PeerStitch auf FortiGate-Geräten. Diese für ARM64-Prozessoren entwickelte Schadsoftware zeichnet sich dadurch aus, dass sie vollständig im Arbeitsspeicher (RAM) verbleibt. Sie vermeidet es vollständig, Abhörports zu öffnen oder ausgehende Netzwerkverbindungen zu initiieren, und verlässt sich stattdessen darauf, Verbindungen über den Datenverkehr zu leiten, der von legitimen Prozessen auf dem Zielgerät erzeugt wird.
Die Angreifergruppe registrierte eine nicht lizenzierte virtuelle FortiGate-Instanz und extrahierte ein Archiv, das Details zum Netzwerk des Opfers sowie Informationen zu über 500 verwalteten Firewalls enthielt. Anschließend fungierte PeerStitch als Injektor für einmalige Prozessspeicherkorrekturen. Dabei zielte die Software auf das zentrale Überwachungssystem, den Datenverkehr und VPN-Netzwerkdienste ab, um eine geheime Kommunikationsbrücke innerhalb des Speichers zu schlagen, die die standardmäßigen Sicherheitsüberprüfungsregeln umgeht.
Warum ist diese Nachricht wichtig?
Dieser Angriff stellt eine qualitative Entwicklung im Komplexitätsgrad von Schadsoftware dar, die gegen Edge-Geräte und sensible Telekommunikationsnetzwerke gerichtet ist. Durch den ausschließlichen Betrieb im Arbeitsspeicher und das Vermeiden von Spuren auf Festplatten gelang es den Angreifern, eine langfristige Persistenz zu erreichen und sich herkömmlichen Sicherheitsüberwachungstools zu entziehen. Dies zwingt Unternehmen dazu, ihre Edge-Systeme zu aktualisieren und die Sicherheitsprotokolle kontinuierlich zu überprüfen.