Relatórios recentes emitidos por empresas de segurança da informação mostraram que um grupo de ameaça cibernética, que se acredita ser apoiado por um Estado (conhecido como UNC5820 ou CL-STA-0954), conseguiu realizar ataques complexos visando uma organização especializada no setor de telecomunicações durante o mês de setembro de 2024, mantendo o acesso ao ambiente da vítima por um longo período.
Na fase de acesso inicial, os atacantes basearam-se na exploração de uma vulnerabilidade crítica de execução remota de código no sistema FortiManager, rastreada sob o código CVE-2024-47575 e conhecida como a vulnerabilidade FortiJump, que foi corrigida em outubro de 2024 como uma vulnerabilidade de dia zero. O ataque também incluiu a exploração de outra vulnerabilidade de travessia de caminho, com o código CVE-2025-61624, que afeta vários produtos da Fortinet, permitindo que os atacantes escrevessem ou excluíssem arquivos arbitrários e obtivessem privilégios de root no sistema operacional do firewall.
Implantação do malware PeerStitch
A exploração das vulnerabilidades da Fortinet levou à implantação de um novo e inédito malware de implantação chamado PeerStitch em dispositivos FortiGate. Este malware, projetado para processadores ARM64, caracteriza-se por residir inteiramente na memória de acesso aleatório (RAM), evitando completamente a abertura de portas de escuta ou o início de conexões de rede de saída, contando, em vez disso, com a passagem de comunicações através do tráfego de dados gerado por processos legítimos no dispositivo alvo.
O grupo atacante registrou um dispositivo virtual não licenciado do FortiGate e extraiu um arquivo contendo detalhes da rede da vítima e mais de 500 firewalls gerenciados. Posteriormente, o malware PeerStitch atuou como um injetor para corrigir a memória de processos de uma única vez, visando o sistema de espionagem central, o tráfego e os serviços de rede VPN para criar uma ponte de comunicação secreta dentro da memória que contorna as regras de verificação de segurança padrão.
Por que esta notícia é importante?
Este ataque representa um desenvolvimento qualitativo no nível de complexidade dos malwares direcionados a dispositivos de borda e redes de telecomunicações sensíveis. Ao operar exclusivamente dentro da memória e evitar deixar quaisquer vestígios nos discos rígidos, os atacantes conseguiram alcançar uma persistência de longo prazo enquanto escapavam das ferramentas de monitoramento de segurança tradicionais, o que impõe às organizações a necessidade de atualizar seus sistemas de borda e verificar continuamente os registros de segurança.