Badacze z Palo Alto Networks Unit 42 wykryli nową, wysoce wyrafinowaną kampanię wymierzoną w infrastrukturę Fortinet. Atakujący wykorzystują lukę typu path traversal (CVE-2025-61624) w FortiOS, FortiPAM, FortiProxy oraz FortiSwitchManager, aby wprowadzić do pamięci urządzenia malware o nazwie PEERSTITCH.
PEERSTITCH to złośliwe oprogramowanie typu memory-resident dla architektury ARM64, które nie pozostawia śladów na dysku ani nie otwiera nowych portów. Zamiast tego, infekuje procesy miglogd oraz iked, tworząc ukryty most komunikacyjny między nimi. Dzięki temu atakujący mogą omijać walidację sesji VPN, wykorzystując legalny ruch generowany przez system.
Kampania, przypisywana grupie CL-STA-0954, rozpoczęła się od przejęcia FortiManagera poprzez lukę FortiJump. Skutkiem ataku był wyciek krytycznych danych, w tym konfiguracji ponad 500 zapór ogniowych FortiGate, kluczy kryptograficznych oraz poświadczeń administracyjnych, co pozwoliło napastnikom na szeroką rekonesans i utrzymanie dostępu do sieci klientów.
