Bilgi güvenliği şirketleri tarafından yayınlanan son raporlar, devlet destekli olduğu düşünülen (UNC5820 veya CL-STA-0954 olarak bilinen) bir siber tehdit grubunun, Eylül 2024'te telekomünikasyon sektöründe uzmanlaşmış bir kuruluşu hedef alan karmaşık saldırılar gerçekleştirdiğini ve kurbanın ortamına uzun süre erişim sağlamaya devam ettiğini gösterdi.
Saldırganlar, ilk erişim aşamasında FortiManager sisteminde uzaktan kod yürütmeye olanak tanıyan ve FortiJump açığı olarak bilinen CVE-2024-47575 kodlu kritik bir açıktan yararlandılar; bu açık Ekim 2024'te sıfırıncı gün açığı olarak düzeltildi. Saldırı ayrıca, çeşitli Fortinet ürünlerini etkileyen ve saldırganların rastgele dosyalar yazmasına veya silmesine ve güvenlik duvarı işletim sistemi üzerinde root yetkileri elde etmesine olanak tanıyan CVE-2025-61624 kodlu bir yol aşma (path traversal) açığının istismar edilmesini de içeriyordu.
PeerStitch kötü amaçlı yazılımının yayılması
Fortinet açıklarının istismarı, FortiGate cihazlarında PeerStitch adlı yeni ve daha önce görülmemiş bir kötü amaçlı yazılımın yayılmasına yol açtı. ARM64 işlemciler için tasarlanan bu yazılım, tamamen rastgele erişimli bellekte (RAM) yer almasıyla öne çıkıyor ve herhangi bir dinleme portu açmaktan veya giden ağ bağlantıları başlatmaktan tamamen kaçınarak, bunun yerine bağlantıları hedef cihazdaki meşru süreçlerin oluşturduğu trafik üzerinden geçirmeyi tercih ediyor.
Saldırgan grup, lisanssız bir sanal FortiGate cihazı kaydederek kurbanın ağ detaylarını ve yönetilen 500'den fazla güvenlik duvarını içeren bir arşivi dışa aktardı. Ardından PeerStitch, merkezi casusluk sistemini, trafiği ve VPN ağ hizmetlerini hedef alarak, varsayılan güvenlik doğrulama kurallarını aşan gizli bir bellek içi iletişim köprüsü kurmak için tek seferlik bir süreç bellek yaması enjektörü olarak çalıştı.
Bu haber neden önemli?
Bu saldırı, uç cihazlara ve hassas telekomünikasyon ağlarına yönelik kötü amaçlı yazılımların karmaşıklık düzeyinde nitel bir gelişmeyi temsil ediyor. Yalnızca bellek içinde çalışarak ve sabit disklerde herhangi bir iz bırakmaktan kaçınarak, saldırganlar geleneksel güvenlik izleme araçlarından kaçarken uzun vadeli bir süreklilik sağlamayı başardılar; bu durum, kuruluşların uç sistemlerini güncellemelerini ve güvenlik günlüklerini sürekli olarak doğrulamalarını zorunlu kılıyor.