Informes recientes publicados por empresas de ciberseguridad han demostrado que un grupo de amenazas cibernéticas presuntamente respaldado por un Estado (conocido como UNC5820 o CL-STA-0954) logró llevar a cabo ataques complejos dirigidos a una organización especializada en el sector de las telecomunicaciones durante septiembre de 2024, manteniendo el acceso al entorno de la víctima durante un periodo prolongado.
En la fase de acceso inicial, los atacantes se basaron en la explotación de una vulnerabilidad crítica de ejecución remota de código en el sistema FortiManager, rastreada bajo el código CVE-2024-47575 y conocida como la vulnerabilidad FortiJump, la cual fue corregida en octubre de 2024 al tratarse de una vulnerabilidad de día cero. Asimismo, el ataque incluyó la explotación de otra vulnerabilidad de salto de directorio con el código CVE-2025-61624, que afecta a varios productos de Fortinet, lo que permitió a los atacantes escribir o eliminar archivos arbitrarios y obtener privilegios de root en el sistema operativo del cortafuegos.
Despliegue del malware PeerStitch
La explotación de las vulnerabilidades de Fortinet condujo al despliegue de un nuevo y sin precedentes implante de malware llamado PeerStitch en los dispositivos FortiGate. Este malware, diseñado para procesadores ARM64, se aloja completamente en la memoria de acceso aleatorio (RAM) y evita por completo abrir puertos de escucha o iniciar conexiones de red salientes, basándose en su lugar en el enrutamiento del tráfico a través del tráfico generado por procesos legítimos en el dispositivo objetivo.
El grupo atacante registró una máquina virtual de FortiGate sin licencia y extrajo un archivo comprimido que contenía los detalles de la red de la víctima y más de 500 cortafuegos gestionados. Posteriormente, el malware PeerStitch actuó como un inyector de parches de memoria de ejecución única, dirigido al sistema de telemetría central, al tráfico y a los servicios de red VPN para establecer un puente de comunicación encubierto dentro de la memoria que elude las reglas predeterminadas de verificación de seguridad.
¿Por qué es importante esta noticia?
Este ataque representa una evolución cualitativa en el nivel de complejidad del malware dirigido contra dispositivos periféricos y redes de telecomunicaciones sensibles. Al operar exclusivamente dentro de la memoria y evitar dejar rastro alguno en los discos duros, los atacantes lograron una persistencia a largo plazo mientras eludían las herramientas tradicionales de monitorización de seguridad, lo que impone a las organizaciones la necesidad de actualizar sus sistemas periféricos y verificar continuamente los registros de seguridad.