O PEERSTITCH, malware identificado em uma investigação sobre ataques contra dispositivos Fortinet, utiliza uma técnica sofisticada para comprometer componentes do FortiOS: a injeção de código diretamente na memória de processos legítimos. A abordagem permite interferir no funcionamento de serviços de VPN e dificulta a detecção por ferramentas que procuram arquivos maliciosos armazenados no disco.
A ameaça faz parte de uma campanha que envolveu o comprometimento do FortiManager, o roubo de configurações de mais de 500 firewalls FortiGate e a exploração de vulnerabilidades para obter acesso privilegiado aos equipamentos. O caso chama a atenção porque combina credenciais roubadas, manipulação de processos Linux e técnicas de evasão forense para ampliar o alcance de uma invasão.
Neste artigo, você entenderá como o PEERSTITCH infecta dispositivos Fortinet, qual é o papel das vulnerabilidades CVE-2024-47575, conhecida como FortiJump, e CVE-2025-61624, como funciona a injeção em memória na arquitetura ARM64 e quais medidas ajudam a proteger infraestruturas corporativas contra ataques semelhantes.
Como funciona o malware PEERSTITCH
O PEERSTITCH é um executável nativo de 64 bits para Linux ARM64, escrito em C e vinculado estaticamente à biblioteca glibc. Seu objetivo é alterar a execução de dois processos essenciais do FortiOS, sem precisar substituir seus arquivos originais no armazenamento do equipamento.
A investigação da Unit 42 identificou uma cadeia de implantação formada por cinco arquivos:
pM.js: prepara o ambiente de execução e remove seus próprios vestígios após cumprir sua função.a.js: fornece o ambiente JavaScript utilizado na execução dos componentes.a.wasm: contém o módulo compilado em WebAssembly.b.js: coordena as etapas de implantação.dd: executável ELF nativo para ARM64 que realiza a injeção de código na memória dos processos-alvo.
Durante a execução, os arquivos recebem nomes alternativos, como index.js, index.wasm, ipssem.js e lldprx. Essa combinação de JavaScript, WebAssembly e código nativo permite organizar a cadeia de execução em etapas, reservando ao componente ARM64 as operações de baixo nível.
O detalhe mais importante é que o PEERSTITCH não depende de um arquivo malicioso permanente para continuar ativo. Depois da injeção, o código opera dentro da memória de processos legítimos do firewall. Isso dificulta a detecção por mecanismos que verificam principalmente arquivos armazenados no disco.
Como a injeção em memória permite interferir nas VPNs
O implante tem como alvos dois processos do FortiOS: /bin/miglogd, associado ao registro de eventos e tráfego, e /bin/iked, responsável por funções relacionadas à negociação de conexões VPN IPsec.
O injetor utiliza a interface ptrace do Linux, normalmente empregada para depuração e controle de processos. Entre as operações identificadas estão PTRACE_SEIZE e PTRACE_INTERRUPT, que permitem controlar a execução dos processos selecionados.
Após localizar os daemons, o malware examina seus mapas de memória, identifica regiões relevantes e captura o estado dos registradores ARM64. Em seguida, prepara código adicional e o introduz diretamente na memória dos processos.
A técnica permite alterar o fluxo de execução sem modificar permanentemente os binários originais. Quando a operação termina, os daemons podem continuar funcionando, mas com desvios de execução introduzidos pelo código malicioso.
Comunicação oculta entre processos
O PEERSTITCH também cria um mecanismo de comunicação entre os processos comprometidos. Ele procura marcadores específicos nos dados processados pelos daemons e utiliza identificadores associados às sessões para coordenar suas ações.
As informações selecionadas são mantidas em estruturas de memória e transferidas entre os processos. Assim, o malware aproveita atividades que já ocorrem no firewall, em vez de depender de um serviço próprio de comunicação externa.
Esse comportamento ajuda a explicar por que a ameaça é difícil de detectar: segundo a investigação, o implante não abre portas de escuta nem inicia conexões externas próprias. Sua comunicação ocorre por meio do tráfego gerado por processos legítimos do equipamento.
Quando identifica uma sessão correspondente aos marcadores esperados, o código injetado pode interferir no fluxo normal de execução do serviço VPN e contornar verificações específicas.
Isso não significa que o PEERSTITCH quebre universalmente a criptografia IPsec ou desative toda a autenticação VPN. A evidência disponível aponta para uma manipulação direcionada de processos e sessões, cujo impacto depende das condições encontradas no equipamento comprometido.
FortiJump e CVE-2025-61624: como ocorreu o ataque
A investigação revelou uma cadeia de comprometimento que começou no FortiManager, plataforma utilizada para administrar centralmente firewalls FortiGate.
CVE-2024-47575: o acesso inicial pelo FortiManager
A vulnerabilidade CVE-2024-47575, conhecida como FortiJump, permite a execução remota de comandos por um invasor não autenticado mediante solicitações especialmente preparadas no canal de gerenciamento FMG-Access, associado à porta TCP 541.
Os invasores exploraram essa falha para comprometer um FortiManager e extrair um arquivo contendo configurações, bancos de dados e materiais criptográficos de mais de 500 firewalls FortiGate gerenciados.
O material incluía informações sobre topologia de rede, credenciais administrativas e de VPN, certificados e chaves privadas. Os pesquisadores conseguiram recuperar senhas armazenadas em formato criptografado reversível e observaram o uso de credenciais válidas para estabelecer sessões SSL VPN não autorizadas.
É importante distinguir exposição de comprometimento: a investigação confirmou o roubo de informações referentes a centenas de firewalls, mas não demonstrou que todos os equipamentos gerenciados tenham sido infectados pelo PEERSTITCH.
CVE-2025-61624: da conta administrativa ao acesso root
Depois de obter acesso administrativo, os invasores exploraram a CVE-2025-61624, uma vulnerabilidade de travessia de diretórios no mecanismo system.auto-script do FortiOS.
A falha permite que um administrador autenticado com permissões suficientes grave ou exclua arquivos fora dos diretórios previstos, utilizando sequências manipuladas no nome de objetos de automação. Como o mecanismo executa os scripts com privilégios elevados, essa condição pode permitir acesso root ao sistema operacional subjacente.
Foi esse recurso que viabilizou a preparação e a execução da cadeia de implantação do PEERSTITCH.
As vulnerabilidades desempenharam, portanto, funções diferentes: a FortiJump abriu caminho para o comprometimento inicial do FortiManager, enquanto a CVE-2025-61624 permitiu avançar de um acesso administrativo ao FortiOS para operações privilegiadas no equipamento.
Evasão forense e apagamento de evidências
O grupo identificado como CL-STA-0954, também conhecido como UNC5820, adotou medidas para dificultar a investigação. Entre elas estavam a interrupção de processos de registro, a limpeza de logs de falhas e a remoção de arquivos e objetos de automação utilizados durante a implantação.
A interrupção de componentes como miglogd e syslogd também compromete a visibilidade sobre eventos que poderiam revelar a invasão.
Para as equipes de resposta a incidentes, isso significa que a ausência de arquivos suspeitos ou de registros locais não comprova que o dispositivo esteja limpo. A investigação precisa considerar dados coletados externamente, alterações de configuração, autenticações incomuns e possíveis modificações na memória dos processos.
Como proteger firewalls Fortinet contra o PEERSTITCH
O caso mostra que a proteção de dispositivos de borda exige mais do que a instalação de atualizações. É necessário revisar toda a cadeia de gerenciamento, identificar possíveis acessos indevidos e reduzir o impacto de credenciais comprometidas.
Administradores de sistemas e equipes de segurança devem priorizar as seguintes medidas:
- Atualizar FortiManager e FortiOS: verificar as versões instaladas e aplicar as correções correspondentes às CVE-2024-47575 e CVE-2025-61624, seguindo as orientações oficiais da Fortinet.
- Rotacionar credenciais expostas: alterar senhas administrativas e de VPN, revisar contas privilegiadas e avaliar a substituição de certificados e chaves criptográficas comprometidos.
- Auditar a administração centralizada: procurar dispositivos não reconhecidos, alterações suspeitas de configuração, objetos de automação inesperados e sessões VPN sem justificativa.
- Investigar sinais de execução em memória: examinar, quando tecnicamente possível, alterações nos processos
miglogdeiked, regiões de memória executáveis incomuns e acessos suspeitos aos recursos de memória dos processos. - Centralizar os registros: encaminhar logs para sistemas externos protegidos contra alterações e correlacionar eventos de autenticação, gerenciamento e tráfego de rede.
- Restringir o acesso administrativo: limitar as interfaces de gerenciamento a redes confiáveis, aplicar o princípio do menor privilégio e utilizar autenticação forte.
A aplicação de correções é fundamental, mas não garante, isoladamente, a remoção de um implante já executado. Se houver indícios de comprometimento, o equipamento deve passar por uma investigação adequada, com preservação de evidências e recuperação controlada.
Uma ameaça que exige atenção à infraestrutura inteira
O PEERSTITCH demonstra como a combinação de vulnerabilidades, credenciais roubadas e injeção em memória pode transformar um firewall em um ponto de apoio para atividades maliciosas difíceis de detectar.
Para as organizações que dependem de equipamentos Fortinet, o risco não se limita ao dispositivo inicialmente comprometido. A exposição de configurações e credenciais pode afetar outros firewalls, redes de clientes e sistemas administrativos conectados.
Por isso, verifique as versões do FortiOS e do FortiManager em sua infraestrutura, aplique as atualizações pertinentes e investigue qualquer atividade administrativa suspeita. Acompanhe o Sempre Update para receber notícias e orientações sobre vulnerabilidades, ameaças a sistemas Linux e segurança de redes corporativas.
