Badacze z Unit 42 odkryli nową kampanię wymierzoną w dostawców usług telekomunikacyjnych. Atak rozpoczynał się od wykorzystania luki CVE-2024-47575 w systemie FortiManager, co pozwoliło na kradzież danych konfiguracyjnych i poświadczeń dla ponad 500 zapór sieciowych FortiGate.
Następnie napastnicy wykorzystali podatność typu path traversal (CVE-2025-61624) w systemie FortiOS, aby zainstalować PEERSTITCH. Jest to zaawansowany implant architektury ARM64, który nie pozostawia śladów na dysku i nie otwiera nowych portów nasłuchujących.
Malware działa w sposób niezwykle dyskretny, wstrzykując złośliwy kod bezpośrednio do procesów systemowych miglogd oraz iked. Dzięki temu tworzy ukryty most komunikacyjny w pamięci operacyjnej. Dodatkowo napastnicy wykorzystali moduł modmd serwera Apache do ustanowienia kanału C2 opartego na odwróconej powłoce SSH.
Cała operacja wykazała głęboką znajomość architektury Fortinet. Atakujący skutecznie usuwali artefakty śledcze, co utrudniało wykrycie intruzji i analizę powłamaniową.
