一系列攻击与通过 Fortinet 漏洞在 FortiGate 设备中植入高级恶意软件有关
信息安全公司发布的最新报告显示，一个被认为有国家背景的威胁组织（被称为 UNC5820 或 CL-STA-0954）在 2024 年 9 月期间成功发动了针对电信行业专业组织的复杂攻击，并长期保持对受害者环境的访问权限。
攻击者在初始访问阶段利用了 FortiManager 系统中一个用于远程执行代码的关键漏洞，该漏洞被追踪为 CVE-2024-47575，被称为 FortiJump 漏洞，该漏洞已于 2024 年 10 月作为零日漏洞进行了修复。此次攻击还涉及利用另一个影响多个 Fortinet 产品的路径遍历漏洞，编号为 CVE-2025-61624，这使得攻击者能够写入或删除任意文件，并获得防火墙操作系统的根权限。
部署 PeerStitch 恶意软件
对 Fortinet 漏洞的利用导致在 FortiGate 设备上部署了一种名为 PeerStitch 的新型且前所未有的恶意植入程序。这种专为 ARM64 处理器设计的恶意软件完全驻留在随机存取存储器（RAM）中，完全避免打开监听端口或发起出站网络连接，而是依靠通过目标设备上合法进程产生的流量来传递通信。
攻击组织注册了一个未经授权的 FortiGate 虚拟设备，并提取了一个包含受害者网络详细信息和超过 500 个受管防火墙的存档。此后，PeerStitch 恶意软件作为一次性进程内存修补注入器运行，针对中央监控系统、流量和 VPN 网络服务，在内存中建立了一个绕过默认安全验证规则的秘密通信桥梁。
为什么这个消息很重要？
此次攻击代表了针对边缘设备和敏感电信网络的恶意软件复杂程度的质的飞跃。通过仅在内存中运行并避免在硬盘上留下任何痕迹，攻击者成功实现了长期持续性，同时逃避了传统安全监控工具的检测，这迫使各机构必须更新其边缘设备并持续验证安全日志。