Nuove analisi rivelano la sofisticata campagna di spionaggio UNC5820, che ha sfruttato vulnerabilità FortiManager per compromettere centinaia di firewall. L'implant PEERSTITCH opera in memoria, rendendo il rilevamento estremamente complesso.
Le indagini sulla sofisticata campagna di spionaggio informatico attribuita al gruppo UNC5820 (noto anche come CL-STA-0954) continuano a svelare dettagli inquietanti sulle tattiche impiegate. L'attacco, inizialmente focalizzato su un fornitore di servizi gestiti (MSP) nel settore delle telecomunicazioni, ha visto come punto di ingresso la compromissione di un'infrastruttura centrale FortiManager. L'intrusione, iniziata nel settembre 2024, ha permesso agli aggressori di ottenere il controllo su oltre 500 firewall gestiti, esfiltrando dati critici tra cui configurazioni, database amministrativi, certificati digitali e chiavi private.
Il vettore di accesso iniziale è stato identificato nello sfruttamento della vulnerabilità CVE-2024-47575, soprannominata FortiJump. Sfruttando il canale di gestione sulla porta TCP 541, gli attaccanti sono riusciti a registrare un dispositivo virtuale non autorizzato, ottenendo così l'accesso a un archivio di configurazione vitale. Questo materiale ha fornito le credenziali necessarie per stabilire sessioni VPN legittime, consentendo agli aggressori di effettuare movimenti laterali all'interno della rete e di configurare intercettazioni di pacchetti su protocolli come HTTP, TFTP, RADIUS e LDAP. Le nuove fonti confermano che questa vulnerabilità ha permesso agli aggressori di estrarre in pochi minuti un archivio contenente numeri seriali, indirizzi IP pubblici, tabelle di routing, credenziali VPN e materiale fiduciario crittografico per ogni firewall gestito, consegnando di fatto le chiavi di accesso a centinaia di reti.
Il cuore dell'operazione malevola è rappresentato da PEERSTITCH, un implant di tipo memory-resident progettato specificamente per l'architettura ARM64. La sua caratteristica più allarmante è la capacità di operare senza lasciare tracce persistenti sul disco: non crea file eseguibili, non apre porte in ascolto e non avvia connessioni in uscita autonome. Questa modalità operativa rende il rilevamento tramite strumenti di sicurezza tradizionali estremamente arduo. Le nuove analisi hanno ulteriormente dettagliato il funzionamento di questi hook.
Le nuove fonti confermano che il malware viene iniettato nei processi legittimi di FortiOS, in particolare in miglogd (responsabile della gestione dei log) e iked (gestione delle negoziazioni IKE/IPsec). Utilizzando la chiamata di sistema ptrace, PEERSTITCH alloca regioni di memoria anonima con permessi di lettura, scrittura ed esecuzione. Successivamente, inietta un payload che reindirizza le routine di sistema verso hook malevoli. Questi hook monitorano il traffico dei processi alla ricerca di marcatori specifici, consentendo agli aggressori di manipolare le validazioni di sicurezza interne attraverso scritture dirette nella memoria dei processi (/proc/<pid>/mem).
L'hook nel processo miglogd è in grado di riconoscere un marcatore specifico all'interno dei dati in transito, che include un marcatore di porta TCP (8550, non una porta in ascolto) e un indirizzo IP (169.254.0.1, utilizzato per il pattern matching). Una volta identificato questo pattern, il marcatore viene passato al demone iked, il cui hook, durante la gestione delle successive sessioni VPN, cerca questo identificatore. Se tale tag è presente nel buffer di iniezione della sessione VPN, viene intrapreso un percorso di esecuzione alternativo, bypassando le validazioni di sicurezza predefinite di FortiOS. In sostanza, gli hook modificano il comportamento del demone VPN per gestire determinate sessioni in modo non convenzionale. Le nuove fonti sottolineano che PEERSTITCH è un eseguibile ELF nativo ARM64 a 64 bit, scritto in C, e include uno script di auto-preparazione progettato per scaricare cinque componenti da un server esterno ([23.240.77[.]233:8085]): pM.js (script di preparazione), a.js e a.wasm (runtime JavaScript/WebAssembly), b.js (orchestratore) e dd (iniettore ELF nativo ARM64, il core di PEERSTITCH).
La fase principale dell'attacco inizia dopo un ritardo nell'esecuzione. L'orchestratore (ipssem.js) lancia lldprx, che funge da iniettore di patch di memoria dei processi, prendendo di mira i demoni core di FortiOS: /bin/miglogd e /bin/iked. Prima di eseguire gli script malevoli, gli attaccanti eliminano i demoni di logging e syslog per sopprimere eventuali tracce, cancellano i log di crash, rimuovono account amministratore rogue e oggetti script, sovrascrivono il file di configurazione ACME malevolo e l'iniettore PEERSTITCH si discollega dal disco dopo l'esecuzione.
Per facilitare l'installazione di PEERSTITCH, gli aggressori hanno sfruttato la vulnerabilità CVE-2025-61624 (con un punteggio CVSS di 5.4), un difetto di path-traversal nel linguaggio di comando di FortiOS, FortiPAM, FortiProxy e FortiSwitchManager. Manipolando oggetti di sistema non sanificati, i criminali sono riusciti a evadere le restrizioni delle directory, eseguendo un loader con privilegi di root. Questa vulnerabilità, corretta da Fortinet nell'aprile 2026, è stata fondamentale per l'escalation dei privilegi.
Oltre all'implant principale, è stato osservato l'utilizzo del modulo Apache mod_md per configurare una reverse shell SSH. Questo fornisce un canale di comunicazione persistente e alternativo, aggirando la natura passiva di PEERSTITCH. Gli attaccanti hanno anche impersonato la piattaforma FortiManager per scaricare dati dai firewall gestiti di altri host all'interno della rete target, ampliando ulteriormente la loro capacità di movimento e raccolta di informazioni. Le nuove fonti aggiungono che gli attaccanti hanno stabilito un canale di comando secondario abusando del modulo di gestione dei certificati integrato di Apache sui firewall, incorporando comandi shell nel campo del nome di dominio delle richieste di validazione dei certificati e configurando Apache per ritentarli continuamente, creando una reverse shell in uscita persistente attraverso un processo di sistema legittimo.
La gravità di questo attacco, che combina lo sfruttamento di vulnerabilità note con malware avanzato e tecniche di evasione, impone un'azione immediata e completa da parte degli amministratori di sistema. Non è sufficiente applicare le patch di sicurezza. Poiché le credenziali, i certificati e le chiavi crittografiche sono stati esfiltrati, è assolutamente indispensabile procedere a una rotazione completa di tutti i segreti compromessi.
Per identificare eventuali compromissioni, i team di sicurezza dovrebbero monitorare attivamente: la presenza di mappature di memoria eseguibili di dimensioni specifiche (es. 16 KB) all'interno dei processi miglogd e iked; scritture anomale tra processi in memoria; l'uso di script di automazione di sistema che tentano di accedere a directory non autorizzate; interruzioni inspiegabili nei servizi di logging o pattern di traffico sospetti. Le nuove fonti evidenziano che lo strumento Integrity Checker di Fortinet non può rilevare l'implant perché scansiona i file su disco, che rimangono intatti.
Fortinet ha rilasciato correzioni per la vulnerabilità CVE-2025-61624 nelle versioni FortiOS 7.4.10 e 7.6.5. L'aggiornamento tempestivo dei sistemi è fondamentale, ma deve essere accompagnato da un'analisi forense approfondita per escludere la presenza di accessi non autorizzati persistenti basati su credenziali rubate e per comprendere l'estensione della compromissione. È importante notare che i 500 dispositivi compromessi non appartenevano tutti alla stessa organizzazione; alcuni proteggevano l'infrastruttura del provider di servizi e le reti dei suoi clienti, ignari dell'accaduto.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
