Уязвимость CVE-2025-61624 в продуктах Fortinet уже применили для доставки вредоноса PEERSTITCH — импланта для ARM64, который не оставляет исполняемого файла на диске и вмешивается в обработку VPN-сессий FortiOS. Для компаний, где FortiGate стоит на периметре, это плохая новость вдвойне: компрометация может выглядеть как работа штатных процессов, а не как привычная атака с заметным C2-трафиком.
По данным The Hacker News, исследователи Palo Alto Networks Unit 42 связали активность с кластером CL-STA-0954, также известным как UNC5820. Злоумышленники использовали CVE-2025-61624 — уязвимость обхода каталогов в интерпретаторе командной строки FortiOS, FortiPAM, FortiProxy и FortiSwitchManager. При наличии привилегий она позволяет через специально составленные аргументы штатных команд произвольно записывать или удалять файлы. Fortinet закрыла проблему в апреле 2026 года, однако теперь есть подтверждение её эксплуатации в реальных атаках.
Уязвимость получила CVSS 5,4, что на бумаге выглядит умеренно. Но такие оценки плохо передают риск в уже скомпрометированной инфраструктуре: CVE-2025-61624 не обязана быть входной дверью, чтобы стать удобным инструментом для закрепления. В этой кампании она помогла развернуть вредонос PEERSTITCH после того, как атакующие получили более широкий доступ к экосистеме Fortinet.
От FortiManager к сотням межсетевых экранов
Расследование относится к длительному проникновению в телеком-провайдера управляемых услуг, начавшемуся в сентябре 2024 года. Начальный доступ, по оценке Unit 42, был получен через критическую уязвимость FortiJump — CVE-2024-47575 — в FortiManager. После взлома устройства атакующие выгрузили архив с конфигурациями, криптографическими материалами и базами данных, содержащими сведения более чем о 500 управляемых FortiGate.
В добычу вошли серийный номер FortiManager, связи с подключёнными устройствами, конфигурации FortiGate, базы SQLite централизованного управления, инвентарь серийных номеров и публичных IP-адресов, карты сети, маршруты, параметры интерфейсов, зашифрованные учётные данные администраторов и VPN, а также сертификаты и закрытые ключи. Такой набор превращает сервер централизованного управления в особенно ценный объект: один взлом даёт не только доступ к самому контроллеру, но и подробную карту сети клиентов.
Затем группировка использовала эти данные для разведки, перехвата трафика, создания несанкционированных SSL/VPN-сессий на периметровых FortiGate и установки бэкдоров. Исследователи также видели отдельный канал управления: для запуска обратной SSH-оболочки злоумышленники задействовали штатный модуль Apache mod_md на межсетевых экранах. Кроме того, они имитировали FortiManager, чтобы обращаться к управляемым устройствам в целевой сети.
Почему PEERSTITCH трудно заметить
Вредонос PEERSTITCH написан на C и представляет собой 64-битный Linux-исполняемый файл для ARM64. Его загрузочная цепочка получает с внешнего сервера несколько JavaScript- и WebAssembly-компонентов, подготовительный скрипт и собственно инжектор. После паузы оркестратор запускает компонент lldprx, который находит процессы двух системных демонов FortiOS — miglogd и iked — подключается к ним через ptrace, приостанавливает выполнение, выделяет исполняемую память и перенаправляет выполнение на внедрённый код.
Смысл этой схемы не в создании ещё одного сетевого сервиса. PEERSTITCH использует легитимные процессы как внутренний канал связи. Код в miglogd ищет в проходящих данных маркеры: номер порта 8550 и адрес 169.254.0.1. Это не открытый порт и не адрес командного сервера, а признаки, по которым выбирается нужный поток. Найденный идентификатор сессии передаётся обработчику в iked. Если тот встречает его при обработке следующей VPN-сессии, выполнение идёт по альтернативной ветке с обходом штатных проверок безопасности FortiOS.
Именно поэтому вредонос PEERSTITCH неприятен для классических средств мониторинга. Он не держит слушающий порт, не создаёт постоянный бинарный файл и не инициирует отдельное внешнее соединение. Сетевой и endpoint-контроль может видеть обычную активность штатных демонов, пока логика обработки отдельных VPN-сессий уже подменена в памяти. Группировка при этом пыталась сократить следы: отключала генерацию syslog, очищала crash-логи, нарушала телеметрию и удаляла созданные учётные записи администраторов и объекты auto-script.
16 октября 2026 года CISA добавило CVE-2025-61624 в каталог Known Exploited Vulnerabilities и обязало федеральные ведомства США установить исправления до 19 октября. Для российских команд это не формальное требование, но хороший ориентир по приоритету. Владельцам FortiManager и FortiGate стоит проверить версии и установленные патчи, журналы изменений конфигурации, неизвестные VPN-сессии, следы несанкционированных администраторов и аномалии в процессах miglogd и iked. Отдельно имеет смысл оценить, какие конфигурации, ключи и учётные данные были доступны FortiManager: при компрометации контроллера масштабы проверки не ограничиваются одним устройством.
Главный урок этой истории — периметровый шлюз давно нельзя считать просто сетевой коробкой. Централизованное управление, сертификаты, VPN и доступ к клиентским сегментам делают такие платформы удобной точкой масштабирования атаки. Следующая волна защиты, вероятно, будет меньше зависеть от поиска файловых индикаторов и больше — от контроля целостности процессов, административных связей и поведения VPN на самом периметре.