Недавние отчеты, опубликованные компаниями по информационной безопасности, показали, что группа киберугроз, предположительно поддерживаемая государством (известная как UNC5820 или CL-STA-0954), успешно провела сложные атаки на организацию, специализирующуюся в телекоммуникационном секторе, в сентябре 2024 года, и сохраняла доступ к среде жертвы в течение длительного времени.
На этапе первоначального доступа злоумышленники использовали критическую уязвимость для удаленного выполнения кода в системе FortiManager, отслеживаемую под кодом CVE-2024-47575, известную как уязвимость FortiJump, которая была исправлена в октябре 2024 года как уязвимость нулевого дня. Атака также включала использование другой уязвимости обхода пути под кодом CVE-2025-61624, затрагивающей несколько продуктов компании Fortinet, что позволило злоумышленникам записывать или удалять произвольные файлы и получать права суперпользователя (root) в операционной системе межсетевого экрана.
Распространение вредоносного ПО PeerStitch
Использование уязвимостей Fortinet привело к развертыванию нового и ранее не встречавшегося вредоносного импланта под названием PeerStitch на устройствах FortiGate. Это вредоносное ПО, разработанное для процессоров ARM64, полностью размещается в оперативной памяти (RAM) и полностью избегает открытия портов для прослушивания или инициирования исходящих сетевых соединений, полагаясь вместо этого на передачу данных через трафик, генерируемый легитимными процессами на целевом устройстве.
Группа злоумышленников зарегистрировала нелицензированную виртуальную машину FortiGate и извлекла архив, содержащий сведения о сети жертвы и более чем 500 управляемых межсетевых экранах. После этого вредоносное ПО PeerStitch сработало как инжектор для однократной коррекции памяти процессов, нацелившись на систему централизованного мониторинга, трафик и службы VPN для создания секретного коммуникационного моста внутри памяти, который обходит стандартные правила проверки безопасности.
Почему эта новость важна?
Эта атака представляет собой качественный скачок в уровне сложности вредоносного ПО, направленного против периферийных устройств и чувствительных телекоммуникационных сетей. Работая исключительно в оперативной памяти и не оставляя следов на жестких дисках, злоумышленники добились долгосрочного присутствия, избегая традиционных инструментов мониторинга безопасности, что вынуждает организации обновлять свои граничные системы и постоянно проверять журналы безопасности.