Des rapports récents publiés par des sociétés de cybersécurité ont montré qu'un groupe de menace cybernétique, soupçonné d'être soutenu par un État (connu sous le nom de UNC5820 ou CL-STA-0954), a réussi à mener des attaques complexes ciblant une organisation spécialisée dans le secteur des télécommunications au cours du mois de septembre 2024, et a maintenu un accès à l'environnement de la victime pendant une longue période.
Lors de la phase d'accès initial, les attaquants ont exploité une vulnérabilité critique permettant l'exécution de code à distance dans le système FortiManager, répertoriée sous le code CVE-2024-47575 et connue sous le nom de vulnérabilité FortiJump, qui a été corrigée en octobre 2024 en tant que vulnérabilité zero-day. L'attaque a également impliqué l'exploitation d'une autre vulnérabilité de traversée de chemin portant le code CVE-2025-61624, affectant plusieurs produits de la société Fortinet, ce qui a permis aux attaquants d'écrire ou de supprimer des fichiers arbitraires et d'obtenir des privilèges root sur le système d'exploitation du pare-feu.
Déploiement du logiciel malveillant PeerStitch
L'exploitation des vulnérabilités de Fortinet a conduit au déploiement d'un nouveau logiciel malveillant inédit nommé PeerStitch sur les appareils FortiGate. Ce logiciel, conçu pour les processeurs ARM64, se distingue par le fait qu'il réside entièrement dans la mémoire vive (RAM), évitant totalement l'ouverture de ports d'écoute ou l'initiation de connexions réseau sortantes, s'appuyant plutôt sur le passage des communications via le trafic généré par les processus légitimes sur l'appareil ciblé.
Le groupe d'attaquants a enregistré une machine virtuelle FortiGate non autorisée et a extrait une archive contenant les détails du réseau de la victime ainsi que plus de 500 pare-feux gérés. Par la suite, le logiciel PeerStitch a agi comme un injecteur pour corriger la mémoire des processus en une seule fois, ciblant le système d'espionnage central, le trafic et les services de réseaux VPN afin de créer un pont de communication secret à l'intérieur de la mémoire, contournant ainsi les règles de vérification de sécurité par défaut.
Pourquoi cette nouvelle est-elle importante ?
Cette attaque représente une évolution qualitative dans le niveau de complexité des logiciels malveillants dirigés contre les périphériques et les réseaux de télécommunications sensibles. En fonctionnant exclusivement au sein de la mémoire et en évitant de laisser des traces sur les disques durs, les attaquants ont réussi à obtenir une persistance à long terme tout en échappant aux outils de surveillance de sécurité traditionnels, ce qui impose aux organisations la nécessité de mettre à jour leurs systèmes de périphérie et de vérifier en permanence les journaux de sécurité.