Malware PEERSTITCH explora falha no FortiOS e permite contornar verificações de segurança em VPNs
Um grupo de hackers suspeito de atuar em operações avançadas explorou uma vulnerabilidade no Fortinet FortiOS para instalar o PEERSTITCH, um malware até então desconhecido que opera diretamente na memória dos dispositivos. A ameaça modifica processos legítimos do sistema para contornar verificações de segurança em determinadas sessões VPN, dificultando sua identificação por ferramentas convencionais.
A descoberta foi divulgada por pesquisadores da Unit 42, divisão de inteligência de ameaças da Palo Alto Networks, que identificaram a exploração da vulnerabilidade CVE-2025-61624, classificada com pontuação 5,4 na escala CVSS.
A falha, do tipo path traversal, afeta o interpretador de comandos do FortiOS, FortiPAM, FortiProxy e FortiSwitchManager. Ela permite que invasores com privilégios elevados gravem ou excluam arquivos arbitrários utilizando argumentos especialmente preparados em comandos existentes. A Fortinet corrigiu a vulnerabilidade em abril de 2026.
Segundo os pesquisadores Daniel Gott e Shawn Westfall, o PEERSTITCH não mantém arquivos binários persistentes no disco, não abre portas de escuta e não estabelece conexões externas próprias. Em vez disso, utiliza o tráfego gerado por processos legítimos do equipamento comprometido para realizar suas comunicações.
Ataque começou com comprometimento do FortiManager
A investigação está relacionada a uma invasão identificada em setembro de 2024 contra um provedor de serviços gerenciados de telecomunicações. A campanha, rastreada como CL-STA-0954, também conhecida como UNC5820, começou com a exploração da vulnerabilidade crítica FortiJump (CVE-2024-47575), presente no Fortinet FortiManager.
Após comprometer o equipamento, os invasores extraíram um arquivo contendo configurações operacionais, materiais criptográficos e bancos de dados relacionados a mais de 500 firewalls FortiGate gerenciados.
Entre as informações obtidas estavam números de série dos equipamentos, endereços IP públicos, mapas de topologia da rede, tabelas de roteamento, configurações de interfaces, bancos SQLite de gerenciamento centralizado, credenciais administrativas e SSL/VPN armazenadas em formato cifrado, além de certificados digitais e chaves privadas.
Os dados foram utilizados para reconhecimento da infraestrutura, interceptação de tráfego, estabelecimento de acessos prolongados e criação de sessões SSL/VPN não autorizadas em firewalls de perímetro.
Posteriormente, os invasores exploraram a CVE-2025-61624 para implantar o PEERSTITCH nos dispositivos comprometidos.
Como funciona o malware PEERSTITCH
O PEERSTITCH é um executável Linux ARM64 de 64 bits, desenvolvido em linguagem C. Sua instalação utiliza um auto-script responsável por baixar cinco componentes de um servidor externo localizado em 23.240.77[.]233:8085.
Os arquivos incluem o script de preparação pM.js, o módulo JavaScript a.js (salvo como index.js), o módulo WebAssembly a.wasm (salvo como index.wasm), o orquestrador b.js (salvo como ipssem.js) e o injetor ARM64 dd (salvo como lldprx).
Após um atraso programado, o orquestrador executa o injetor, que modifica diretamente a memória de dois processos essenciais do FortiOS: /bin/miglogd e /bin/iked.
O malware identifica os processos em execução, analisa seus mapas de memória e utiliza a interface ptrace para se conectar a eles. Em seguida, interrompe temporariamente sua execução com PTRACE_INTERRUPT, aloca regiões de memória executáveis e injeta código malicioso, redirecionando o fluxo de execução.
Essa técnica permite estabelecer um canal de comunicação oculto entre processos legítimos, sem depender de arquivos persistentes ou conexões de rede convencionais.
Malware modifica validações de sessões VPN
O principal diferencial técnico do PEERSTITCH está na manipulação do processamento de sessões VPN.
O código injetado no processo miglogd procura dois marcadores específicos nos dados processados: a porta TCP 8550 e o endereço IP 169.254.0.1.
Esses valores funcionam como identificadores internos para reconhecimento de padrões, não representando necessariamente uma porta aberta ou uma conexão de rede ativa.
Quando identifica os marcadores, o código malicioso encaminha um token ou identificador de sessão ao processo iked, responsável por operações relacionadas às VPNs.
O código injetado no iked procura esse identificador nas sessões VPN subsequentes. Quando encontra uma sessão marcada, modifica o fluxo de execução para ignorar determinadas validações de segurança normalmente aplicadas pelo FortiOS.
Dessa forma, os invasores conseguem alterar o tratamento de sessões VPN específicas sem modificar diretamente os arquivos executáveis originais do sistema.
Hackers também utilizaram shell reverso e técnicas antiforenses
Além do PEERSTITCH, os responsáveis pela campanha estabeleceram um canal independente de comando e controle (C2), explorando o módulo nativo mod_md do Apache presente nos firewalls FortiGate para iniciar um shell reverso baseado em SSH.
Os invasores também se passaram pela plataforma FortiManager para obter informações de outros firewalls gerenciados na rede comprometida.
A Unit 42 identificou indícios de que outras vulnerabilidades, como CVE-2024-26009 e CVE-2024-26008, poderiam estar relacionadas à operação. Entretanto, essa hipótese não foi confirmada. A exploração dessas falhas exige que os dispositivos estejam cadastrados no FortiGate Cloud/FortiCloud SSO, condição que não estava presente nos equipamentos afetados.
A investigação também documentou técnicas utilizadas para eliminar evidências da invasão, incluindo interrupção da geração de logs syslog, exclusão de registros de falhas, desativação de telemetria e remoção automática de contas administrativas não autorizadas e objetos de auto-script após sua execução.
Segundo a Unit 42, a operação demonstra conhecimento aprofundado da arquitetura dos equipamentos Fortinet, dos componentes internos do FortiOS e dos protocolos utilizados no gerenciamento centralizado.
O comprometimento do FortiManager permitiu aos invasores obter informações sobre centenas de firewalls e ampliar o alcance da operação para outras redes gerenciadas.
A utilização do PEERSTITCH acrescentou uma camada de ocultação ao ataque, permitindo manipular processos diretamente na memória e manter mecanismos de acesso sem os artefatos normalmente associados à instalação de malware em disco.
