Un actor de amenaza avanzado ha sido detectado utilizando un nuevo malware, PEERSTITCH, para explotar vulnerabilidades en Fortinet FortiOS. Este ataque se dirige principalmente a dispositivos FortiOS, FortiPAM, FortiProxy y FortiSwitchManager, con un impacto significativo en redes gestionadas, especialmente aquellas que dependen de VPN para acceso remoto, eludiendo las detecciones tradicionales de seguridad.
El ataque inicial, conocido como CL-STA-0954 (o UNC5820), se obtuvo explotando una falla crítica en FortiManager (CVE-2024-47575), que permitió a los atacantes exfiltrar configuraciones, credenciales y datos de más de 500 firewalls FortiGate gestionados. Posteriormente, se aprovechó una segunda vulnerabilidad de “path traversal” en FortiOS (CVE-2025-61624, CVSS 5.4), corregida en abril de 2026, para desplegar PEERSTITCH. Este malware es especialmente sigiloso: reside en memoria, no deja binarios persistentes en disco, no abre puertos de escucha ni inicia conexiones de red salientes, lo que lo hace muy resistente a las detecciones convencionales.
PEERSTITCH es un ejecutable ARM64 de Linux que, una vez desplegado, inyecta código malicioso en los procesos /bin/miglogd y /bin/iked de FortiOS. Esto crea un “puente de comunicación encubierto y residente en memoria” entre estos dos procesos legítimos. Este método le permite al malware usar el tráfico generado por procesos válidos como cobertura. Específicamente, el “hook” en miglogd busca marcadores en el tráfico de datos (como el puerto TCP 8550 y la IP 169.254.0.1), y si los encuentra, pasa un token al daemon iked. Este último, al manejar sesiones VPN con el identificador “etiquetado”, redirige la ejecución para eludir las validaciones de seguridad predeterminadas de FortiOS, estableciendo así sesiones VPN no autorizadas.
Fortinet ya ha lanzado un parche para CVE-2025-61624 en abril de 2026. Es crucial que las organizaciones actualicen sus sistemas FortiOS, FortiPAM, FortiProxy y FortiSwitchManager a las versiones corregidas. Los atacantes demostraron una alta sofisticación, eliminando activamente artefactos forenses como registros de syslog, logs de errores y cuentas de administrador temporales para dificultar la detección y la respuesta. Se aconseja una revisión exhaustiva de los sistemas Fortinet para identificar cualquier signo de compromiso o actividad anómala, y entender el funcionamiento de técnicas como ptrace usadas por el malware.
Qué significa para tu empresa: Este incidente subraya la creciente sofisticación de los ataques dirigidos a infraestructuras de borde y la necesidad de una vigilancia constante. La capacidad de este malware para eludir detecciones tradicionales resalta la importancia de contar con un SOC con monitoreo 24/7 que no solo detecte anomalías en el tráfico de red, sino que también pueda identificar comportamientos inusuales en los procesos internos de los dispositivos, incluso aquellos que residen solo en memoria. Además, la exfiltración de credenciales y configuraciones gestionadas enfatiza la necesidad de una estrategia de seguridad gestionada por capas, incluyendo protección de endpoints EDR/XDR, para proteger el acceso y los sistemas críticos más allá del perímetro.
Fuente original: The Hacker News — ver artículo →