PEERSTITCH, il malware che trasforma i firewall FortiGate in piattaforme di

Nel settembre 2024, Unit 42 di Palo Alto Networks ha investigato un intrusione multi-stadio contro un provider di telecomunicazioni, tracciata come cluster CL-STA-0954. Gli attaccanti hanno compromesso un appliance FortiManager centralizzato sfruttando CVE-2024-47575, esfiltrato le configurazioni di oltre 500 firewall gestiti e poi deployato PEERSTITCH: un malware ARM64 memory-resident che si nasconde nei processi legittimi di FortiOS senza lasciare tracce su disco. La scoperta, resa pubblica nell'ottobre 2026, costringe a ripensare il paradigma della detection su appliance di sicurezza di perimetro.

Dal FortiManager compromesso all'esfiltrazione di massa

L'attacco ha preso forma con l'exploit di CVE-2024-47575, vulnerabilità condivisa dalla comunità di analisi con l'appellativo "FortiJump". Gli attaccanti hanno ottenuto l'accesso a un appliance FortiManager centralizzato, il sistema che Fortinet utilizza per gestire la configurazione di centinaia di firewall distribuiti. Da questa posizione, hanno rubato file di configurazione attiva per più di 500 FortiGate, insieme a database SQLite, credenziali cifrate, chiavi crittografiche e mappe di topologia di rete.

Unit 42 ha verificato che le credenziali esfiltrate fossero recuperabili attraverso tecniche di brute-force. Il provider di telecomunicazioni non è stato solo una vittima diretta: l'accesso alle sue credenziali ha aperto scenari di supply chain estesa, con il potenziale di compromissione delle reti dei clienti finali gestiti attraverso quella infrastruttura.

Gli attaccanti hanno successivamente impersonato la piattaforma FortiManager per estrarre dati da altri firewall nella rete target. La compromissione di un singolo punto di gestione centralizzato si è così tradotta in un'espansione laterale di portata eccezionale, dimostrando la fragilità intrinseca delle architetture che concentrano il controllo di sicurezza perimetrale in pochi nodi.

CVE-2025-61624: la path traversal che eleva un admin a root

Per il passaggio successivo, gli attaccanti hanno sfruttato CVE-2025-61624, una vulnerabilità di path traversal classificata CWE-22 nel motore system.auto-script di FortiOS. Secondo il record NVD, la vulnerabilità presenta un punteggio CVSS 3.1 di 6.0 (MEDIUM) con vettore AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H. Richiede un attaccante autenticato con profilo amministrativo e permessi read-write, ma una volta soddisfatte queste condizioni consente di leggere e scrivere file arbitrari come root attraverso comandi CLI specifici.

Unit 42 ha documentato il meccanismo concreto: il motore system.auto-script di FortiOS permette di specificare path relativo che, attraverso sequenze di directory traversal come ../../../../setup, aggirano le restrizioni previste e consentono la scrittura in posizioni riservate del filesystem. Questa capacità è stata il veicolo per l'installazione di PEERSTITCH.

"PEERSTITCH leaves no persistent binary on disk, opens no listening ports and initiates no outbound network connections. Instead, it communicates through traffic generated by legitimate processes on the infected host, which makes the malware resistant to conventional endpoint and network detection." — Unit 42 (Palo Alto Networks)

L'anatomia di PEERSTITCH: architettura da ghost nel siliconio

PEERSTITCH rappresenta un'evoluzione significativa nella progettazione di malware per appliance di rete. È un eseguibile Linux ARM64 a 64 bit, scritto in C e staticamente linkato a glibc. La sua caratteristica distintiva è l'assenza completa di persistenza su disco: una volta caricato in memoria, il malware cancella le proprie tracce dal filesystem e opera esclusivamente nella RAM dell'appliance.

Il funzionamento si articola in due fasi di iniezione. PEERSTITCH agisce come injector one-shot targeting specificamente due daemon fondamentali di FortiOS: /bin/miglogd, responsabile della gestione dei log di sistema, e /bin/iked, il demone IKE/IPsec che gestisce le VPN. L'iniezione in questi processi legittima il traffico generato dal malware, mascherandolo come attività ordinaria dell'appliance.

Il payload originale è stato scaricato da un server esterno all'indirizzo hxxp[:]//23.240.77[.]233:8085/ in cinque componenti distinti: pM.js, a.js (salvato come index.js), a.wasm (salvato come index.wasm), b.js (salvato come ipssem.js) e dd (salvato come lldprx). La presenza di un modulo WebAssembly compilato tra i componenti indica un livello di sofisticazione non comune nel malware per appliance embedded, anche se Unit 42 non ha specificato il ruolo esatto di questo modulo nel funzionamento complessivo.

Il malware intercetta il traffico su 11 servizi specifici su porte TCP, creando una capacità di sniffing passivo che non richiede l'apertura di socket in ascolto propri. L'intera comunicazione avviene attraverso due indirizzi IP di staging esterni: 23.240.77[.]233 e 47.18.167[.]159. Questa architettura rende PEERSTITCH particolarmente insidioso: i sistemi di network monitoring che si affidano alla rilevazione di connessioni sospette o di porte in ascolto anomale non rilevano alcuna anomalia, perché il traffico esfiltrativo scorre attraverso canali già legittimi.

Perché è importante

Il caso CL-STA-0954 espone un paradosso strutturale della cybersecurity perimetrale. Le appliance FortiGate sono progettate per ispezionare, filtrare e proteggere il traffico di rete; quando compromesse, diventano piattaforme di spionaggio con visibilità nativa su flussi che gli operatori considerano protetti. La tecnica memory-resident di PEERSTITCH annulla due pilastri convenzionali della detection: l'analisi del filesystem per identificare payload malevoli e il monitoraggio delle connessioni di rete per rilevare beacon verso infrastrutture ostili.

Il provider di telecomunicazioni attaccato gestiva per conto terzi la connettività e la sicurezza di centinaia di entità. L'esfiltrazione delle sue credenziali e configurazioni non si limita alla compromissione di un singolo perimetro: genera un rischio di supply chain esteso il cui perimetro non è delimitato dall'indagine di Unit 42, che ha esaminato esclusivamente l'ambiente del provider senza estendersi alle reti dei clienti finali.

Non è chiaro se PEERSTITCH sia stato osservato in altri incidenti oltre a CL-STA-0954, né se Fortinet abbia rilasciato patch specifiche per CVE-2025-61624 al momento della pubblicazione del report. Il dossier non specifica il vettore esatto di decrittazione delle credenziali esfiltrate, né attribuisce l'attacco a un nation-state specifico nominato: Unit 42 rileva solo sovrapposizioni di tradecraft con intrusioni attribuite a threat actor statali sospetti.

Domande e risposte

Perché PEERSTITCH è definito "memory-resident" anziché "fileless"?

Unit 42 descrive esplicitamente PEERSTITCH come privo di binari persistenti su disco, ma il termine "fileless" è spesso usato in modo improprio per malware che utilizzano script o tool di sistema già presenti. PEERSTITCH è un eseguibile ARM64 compilato che viene caricato in memoria e poi eliminato dal filesystem: la sua persistenza è puramente RAM-based, il che lo distingue sia dal malware tradizionale su disco sia dalle tecniche fileless più comuni su piattaforme Windows.

In che modo l'iniezione in miglogd e iked rende il traffico indistinguibile?

I due daemon sono processi legittimi di FortiOS con funzioni rispettivamente di gestione log e VPN IPsec. Una volta compromessi, il malware può utilizzare i socket e le connessioni già aperti da questi processi per veicolare i propri dati. I sistemi di rilevamento che si basano sulla correlazione tra processo sospetto e connessione anomala trovano solo processi di sistema attendibili e traffico su protocolli attesi.

Qual è il significato del modulo WebAssembly nel payload?

Il dossier di Unit 42 elenca un componente "a.wasm (saved as index.wasm)" tra i file scaricati, ma non ne dettaglia la funzione. Non è possibile stabilire se il modulo Wasm esegua logica specifica del malware, rappresenti un componente di offuscamento o serva a una portabilità futura del payload su altre architetture. Il brief non documenta questo aspetto.

Fonti

• https://unit42.paloaltonetworks.com/fortimanager-cve-2024-47575-peerstitch-malware/
• https://www.cve.org/CVERecord?id=CVE-2024-47575
• https://nvd.nist.gov/vuln/detail/cve-2025-61624

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti