PeerStitch implant otkriven u istrazi napada na telekomunikacionog provajdera
Unit 42 opisuje višefazni upad preko FortiManager-a i kasnije postavljanje memorijskog implanta na FortiGate uređaje. Državna pripadnost napadača nije potvrđena.
Šta se desilo?
Unit 42 je 14. oktobra 2026. objavio analizu upada u telekomunikacionog pružaoca upravljanih usluga, započetog u septembru 2024. Aktivnost prati kao CL-STA-0954, odnosno UNC5820. Istraživači navode preklapanja sa postupcima aktera za koje se sumnja da ih podržavaju države, ali ne potvrđuju državu ni nalogodavca.
Koga pogađa?
Početni upad pogodio je centralni FortiManager. Ukradena arhiva sadržala je konfiguracije, kredencijale i kriptografski materijal za više od 500 upravljanih FortiGate uređaja. To nije potvrda upada u više od 500 klijentskih mreža: Unit 42 navodi da te mreže nije istraživao.
Kako se zaštititi?
Primenite odgovarajuće Fortinet ispravke i ograničite pristup upravljačkim servisima. Ako postoji sumnja na upad, uključite tim za odgovor na incidente, sačuvajte evidencije i, kada je moguće, memorijske dokaze. Pregledajte registracije uređaja, administratorske naloge, VPN sesije i auto-script objekte. Zamenite potencijalno izložene kredencijale i ključeve u koordinisanom postupku oporavka.
Tehnički detalji
Za početni pristup korišćen je CVE-2024-47575, odnosno FortiJump, sa vendor CVSS 3.1 ocenom 9,8. Zatim je iskorišćen CVE-2025-61624 za prelazak sa privilegovanog FortiOS administratorskog pristupa na niži sistemski nivo. Fortinet za drugi propust navodi osnovnu CVSS 3.1 ocenu 6,0 i vremensku ocenu 5,4. PEERSTITCH je ARM64 implant koji menja memoriju procesa miglogd i iked i koristi njihov saobraćaj bez sopstvenog osluškujućeg porta.
Zašto je važno?
Kompromitacija centralnog upravljanja može izložiti podatke o velikom broju uređaja. Kod lažiranja FortiManager identiteta, istraživači ne mogu da razdvoje moguću eksploataciju CVE-2024-26009 od ponovne upotrebe ukradenog materijala za autentifikaciju. CVE-2024-26008 pominje se samo kao mogući način prekidanja legitimne veze; taj mehanizam nije potvrđen.
Preporuka Sajber Radara
Proverite verzije i stanje uređaja, ne samo prisustvo zakrpe. Za FortiManager su minimalne ispravke za FortiJump 6.2.13, 6.4.15, 7.0.13, 7.2.8, 7.4.5 i 7.6.1. Za navedeni FortiOS path traversal ispravke su 7.4.10 i 7.6.5; starije pogođene grane zahtevaju migraciju. Birajte aktuelnu podržanu verziju prema vendor putanji nadogradnje.