Cảnh báo malware PEERSTITCH: Kỹ thuật mới vượt mặt bảo mật trên thiết bị FortiOS

Một nhóm tin tặc có trình độ kỹ thuật cao đang thực hiện các chiến dịch tấn công nhắm vào hệ sinh thái Fortinet. Mục tiêu của chúng là triển khai một loại malware mới có tên PEERSTITCH, một mã độc chạy hoàn toàn trên bộ nhớ (memory-resident) dành cho kiến trúc ARM64.

Kỹ thuật tấn công qua lỗ hổng CVE-2025-61624

Chiến dịch này tận dụng lỗ hổng CVE-2025-61624 (điểm CVSS 5.4) – một lỗi path traversal trong trình thông dịch dòng lệnh của FortiOS, FortiPAM, FortiProxy và FortiSwitchManager. Mặc dù Fortinet đã phát hành bản patch vào tháng 4/2026, nhưng những hệ thống chưa cập nhật vẫn là mục tiêu tiềm năng.

Theo các nhà nghiên cứu từ Palo Alto Networks Unit 42, PEERSTITCH cực kỳ khó bị phát hiện bởi các giải pháp an ninh truyền thống. Malware này không tạo file lưu trữ trên ổ cứng, không mở cổng nghe (listening port) và không thực hiện kết nối mạng outbound trực tiếp. Thay vào đó, nó “ẩn mình” bằng cách giao tiếp thông qua lưu lượng của các tiến trình hợp lệ trên thiết bị.

Cách thức vận hành của PEERSTITCH

Malware này hoạt động như một trình tiêm mã (injector) vào bộ nhớ của hai tiến trình cốt lõi trong FortiOS là /bin/miglogd và /bin/iked. Bằng cách sử dụng ptrace, nó chèn mã độc vào bộ nhớ của các tiến trình này để tạo ra một “cầu nối giao tiếp bí mật”.

Cụ thể, khi một phiên VPN được thiết lập, các hook được cài cắm sẽ kiểm tra các dấu hiệu (marker) đặc biệt trong dữ liệu. Nếu phát hiện các thông số khớp với yêu cầu, malware sẽ điều hướng phiên làm việc đi qua một luồng xử lý khác, từ đó bypass các bước kiểm duyệt bảo mật mặc định của FortiOS.

Chiến dịch CL-STA-0954 và quy mô ảnh hưởng

Hoạt động này nằm trong chiến dịch tấn công mạng kéo dài được theo dõi dưới mã CL-STA-0954 (hay còn gọi là UNC5820). Tin tặc đã giành quyền truy cập ban đầu thông qua lỗ hổng FortiJump (CVE-2024-47575) trên FortiManager. Sau khi chiếm được thiết bị, chúng đã đánh cắp lượng lớn dữ liệu nhạy cảm, bao gồm:

• Cấu hình của hơn 500 thiết bị FortiGate.
• Thông tin mạng nội bộ, bảng định tuyến và sơ đồ topo.
• Dữ liệu xác thực SSL/VPN và các khóa mã hóa.

Ngoài việc triển khai PEERSTITCH, nhóm tấn công còn thiết lập kênh điều khiển (C2) thông qua module mod_md của Apache để tạo reverse shell SSH. Chúng cũng thực hiện các biện pháp xóa dấu vết kỹ thuật số như vô hiệu hóa syslog, xóa nhật ký lỗi và tự động xóa các tài khoản quản trị giả mạo sau khi hoàn tất nhiệm vụ.

Các chuyên gia nhấn mạnh rằng đây là hồi chuông cảnh báo về xu hướng vũ khí hóa các hệ thống quản lý tập trung (edge management ecosystems). Việc sử dụng các kỹ thuật tiêm mã vào bộ nhớ mà không để lại artifact trên đĩa cứng cho thấy sự trưởng thành đáng kể về kỹ thuật của các nhóm tấn công nhắm vào thiết bị mạng hiện nay.

Nguồn tham khảo: The Hacker News