PEERSTITCH: Malware lợi dụng lỗ hổng FortiOS để vượt qua kiểm tra VPN
"A threat actor exploited CVE-2025-61624, a path traversal flaw in FortiOS, FortiPAM, FortiProxy, and FortiSwitchManager, to deploy the PEERSTITCH malware. This malware operates in memory, using legitimate processes for communication to evade detection, and bypasses VPN session checks by injecting code into FortiOS daemons. The attack followed initial access gained via CVE-2024-47575 (FortiJump) and involved extensive data exfiltration."
Lỗ hổng CVE-2025-61624 cho phép kẻ tấn công truy cập trái phép vào hệ thống và triển khai phần mềm độc hại PEERSTITCH, gây ra rủi ro bảo mật cao.
Việc đánh cắp thông tin cấu hình và thông tin đăng nhập có thể dẫn đến mất dữ liệu, gián đoạn dịch vụ và thiệt hại về uy tín cho doanh nghiệp.
Nhóm tấn công nghi ngờ đã khai thác lỗ hổng CVE-2025-61624 trên FortiOS để triển khai phần mềm độc hại PEERSTITCH. Lỗ hổng này, một lỗi path traversal, cho phép kẻ tấn công thực thi hoặc xóa file tùy ý trên các thiết bị FortiOS, FortiPAM, FortiProxy và FortiSwitchManager. Fortinet đã phát hành bản vá cho lỗ hổng này vào tháng 4 năm 2026.
PEERSTITCH hoạt động hoàn toàn trong bộ nhớ, sử dụng các tiến trình hợp lệ để giao tiếp, giúp nó tránh bị phát hiện. Phần mềm độc hại này còn vượt qua kiểm tra phiên VPN bằng cách chèn mã vào các daemon của FortiOS. Palo Alto Networks Unit 42 ghi nhận hoạt động này trong một cuộc tấn công mạng kéo dài vào một nhà cung cấp dịch vụ viễn thông vào tháng 9 năm 2024 (CL-STA-0954 / UNC5820).
Kẻ tấn công đã lấy cắp thông tin cấu hình, tài liệu mật mã và cơ sở dữ liệu chứa thông tin của hơn 500 tường lửa FortiGate được quản lý. Các chi tiết bị đánh cắp bao gồm số serial của thiết bị FortiManager, file cấu hình, cơ sở dữ liệu SQLite, bản đồ mạng, bảng định tuyến và thông tin đăng nhập SSL/VPN. Thông tin này được sử dụng để trinh sát mạng, duy trì quyền truy cập lâu dài, chặn lưu lượng mạng, thiết lập các phiên SSL/VPN trái phép và cuối cùng là triển khai PEERSTITCH.
PEERSTITCH là một file thực thi ARM64 64-bit viết bằng C. Nó tải xuống năm thành phần từ máy chủ 23.240.77[.]233:8085, bao gồm các script chuẩn bị môi trường, runtime JavaScript, module WebAssembly, script điều phối và trình tiêm ELF. Sau khi thực thi, PEERSTITCH chèn mã vào hai daemon chính của FortiOS: /bin/miglogd và /bin/iked. Việc này tạo ra một cầu nối giao tiếp ẩn giữa hai tiến trình hợp lệ, sử dụng chúng để che giấu hoạt động và tránh bị phát hiện. PEERSTITCH sử dụng các marker TCP port 8550 và địa chỉ IP 169.254.0.1 để xác định và xử lý các phiên VPN cụ thể, bỏ qua các quy tắc bảo mật mặc định của FortiOS. Kẻ tấn công cũng sử dụng module Apache mod_md để tạo một reverse shell SSH.
Câu hỏi thường gặp
CVE-2025-61624 là gì?
CVE-2025-61624 là một lỗ hổng path traversal trong FortiOS, FortiPAM, FortiProxy và FortiSwitchManager. Lỗ hổng này cho phép kẻ tấn công thực thi hoặc xóa file tùy ý trên các thiết bị này.
PEERSTITCH hoạt động như thế nào?
PEERSTITCH là một phần mềm độc hại hoạt động trong bộ nhớ, sử dụng các tiến trình hợp lệ để giao tiếp và tránh bị phát hiện. Nó chèn mã vào các daemon của FortiOS để vượt qua kiểm tra phiên VPN.
Thông tin gì đã bị đánh cắp trong cuộc tấn công?
Kẻ tấn công đã đánh cắp thông tin cấu hình, tài liệu mật mã và cơ sở dữ liệu chứa thông tin của hơn 500 tường lửa FortiGate được quản lý, bao gồm số serial, file cấu hình và thông tin đăng nhập.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng này đặc biệt đáng chú ý với các doanh nghiệp Việt Nam đang sử dụng thiết bị Fortinet. Việc PEERSTITCH có thể vượt qua kiểm tra VPN cho thấy nguy cơ tấn công từ bên trong mạng là rất cao. Các doanh nghiệp nên kiểm tra và vá các thiết bị FortiOS ngay lập tức. Điều đáng chú ý là phần mềm độc hại này hoạt động trong bộ nhớ, khiến việc phát hiện trở nên khó khăn hơn. Các giải pháp giám sát lưu lượng mạng và phát hiện bất thường có thể giúp phát hiện hoạt động của PEERSTITCH.