Un attore ritenuto avanzato è stato osservato mentre sfruttava una vulnerabilità di Fortinet FortiOS per distribuire PEERSTITCH, un malware ARM64 non documentato in precedenza che risiede esclusivamente in memoria. L’attività è stata identificata da Palo Alto Networks Unit 42 nel corso di un’intrusione prolungata contro un fornitore di servizi gestiti per le telecomunicazioni.
Una falla corretta, ma ancora sfruttabile
La vulnerabilità, CVE-2025-61624, ha un punteggio CVSS di 5,4 ed è un caso di path traversal nell’interprete della riga di comando di FortiOS, FortiPAM, FortiProxy e FortiSwitchManager: con argomenti costruiti ad hoc un attaccante con privilegi poteva ottenere la scrittura o la cancellazione arbitraria di file. Fortinet l’ha corretta nell’aprile 2026. Il punto è che una patch disponibile non equivale a una patch applicata, e apparati di perimetro esposti a Internet restano nel mirino anche a distanza di mesi. Nel caso ricostruito da Unit 42 l’accesso iniziale era avvenuto sfruttando una distinta vulnerabilità critica di FortiManager, nota come FortiJump (CVE-2024-47575), a cui è seguita l’esfiltrazione di un archivio con configurazioni in esecuzione, materiale crittografico e database con informazioni su oltre cinquecento firewall FortiGate gestiti.
Un malware che vive solo in memoria
PEERSTITCH è descritto come un programma che non lascia binari persistenti sul disco, non apre porte in ascolto e non avvia connessioni verso l’esterno. Comunica invece sfruttando il traffico generato da processi legittimi presenti sull’host. Questa scelta lo rende resistente ai controlli tradizionali: un antivirus che cerca file sospetti non trova nulla da analizzare, un firewall che ispeziona le connessioni in uscita non vede un canale dedicato. La conseguenza operativa è che la rilevazione deve spostarsi sulla memoria, sul comportamento dei processi e sull’analisi delle sessioni VPN, in particolare quelle marcate o “tagged”, usate per aggirare i controlli.
Cosa controllare nel perimetro Fortinet
Per chi gestisce apparati Fortinet le verifiche minime sono tre. La prima è di inventario: sapere quali versioni di FortiOS, FortiPAM, FortiProxy e FortiSwitchManager sono in esercizio e quali sono effettivamente aggiornate, incluse le appliance secondarie che spesso sfuggono al ciclo di patching. La seconda è di esposizione: quante interfacce di amministrazione e quanti portali VPN sono raggiungibili da Internet, e con quali regole di accesso. La terza è di monitoraggio: registrare e conservare le sessioni amministrative, verificare l’integrità delle configurazioni e cercare segnali di esecuzione anomala in memoria, perché su questi apparati la persistenza può non lasciare traccia su disco. Vale anche la lezione di metodo: un fornitore di servizi gestiti è un bersaglio di alto valore, perché da lì si raggiungono i clienti.
In sintesi. PEERSTITCH ricorda che la difesa del perimetro non si esaurisce con l’applicazione della patch. Contano la visibilità su ciò che gira in memoria, la disciplina sull’esposizione dei servizi e la capacità di riconoscere movimenti laterali attraverso le stesse VPN che proteggono la rete.
Fonte: The Hacker News