Fortinetの脆弱性を悪用し、FortiGateデバイスに高度なマルウェアを埋め込む攻撃グループ
情報セキュリティ企業が発表した最新のレポートによると、国家の支援を受けているとみられるサイバー脅威グループ（UNC5820またはCL-STA-0954として知られる）が、2024年9月に通信セクターの専門組織を標的とした複雑な攻撃を成功させ、長期間にわたって被害者の環境へのアクセスを維持していたことが判明しました。
攻撃者は初期アクセスの段階で、FortiManagerシステムにおけるリモートコード実行の重大な脆弱性（CVE-2024-47575、通称FortiJump）を悪用しました。この脆弱性は2024年10月にゼロデイ脆弱性として修正されました。また、この攻撃には、複数のFortinet製品に影響を及ぼすパストラバーサルの脆弱性（CVE-2025-61624）の悪用も含まれており、これにより攻撃者は任意のファイルの書き込みや削除を行い、ファイアウォールオペレーティングシステム上でルート権限を取得することが可能となりました。
マルウェア「PeerStitch」の展開
Fortinetの脆弱性の悪用により、FortiGateデバイス上に「PeerStitch」と呼ばれる前例のない新しいマルウェアが展開されました。ARM64プロセッサ向けに設計されたこのマルウェアは、完全にランダムアクセスメモリ（RAM）上に常駐し、リスニングポートの開放や外部へのネットワーク接続の開始を一切行わないという特徴があります。その代わりに、ターゲットデバイス上の正規のプロセスによって生成されるトラフィックを通じて通信を中継します。
攻撃グループは、ライセンスのないFortiGate仮想マシンを登録し、被害者のネットワーク詳細と500台以上の管理対象ファイアウォールを含むアーカイブを抽出しました。その後、PeerStitchは一度限りのプロセスメモリパッチインジェクターとして機能し、中央監視システム、トラフィック、およびVPNネットワークサービスを標的として、メモリ内に秘密の通信ブリッジを構築し、デフォルトのセキュリティ検証ルールを回避しました。
このニュースが重要な理由
この攻撃は、エッジデバイスや機密性の高い通信ネットワークを標的としたマルウェアの複雑さにおいて、質的な進化を示しています。ハードディスク上に痕跡を残さずメモリ内でのみ動作することで、攻撃者は従来のセキュリティ監視ツールを回避しながら長期的な永続性を確保することに成功しました。このことは、組織に対してエッジ向けシステムのアップデートと、セキュリティログの継続的な検証を強く求めています。