گزارش‌های اخیر شرکت Palo Alto Networks نشان می‌دهد که یک عامل تهدید (threat actor) که احتمالاً تحت حمایت دولت است، با بهره‌برداری از چندین آسیب‌پذیری در محصولات Fortinet، موفق به نفوذ به یک سازمان مخابراتی شده و دسترسی طولانی‌مدت به محیط آن کسب کرده است.
جزئیات نفوذ و آسیب‌پذیری‌های مورد استفاده
این عملیات که به گروه UNC5820 نسبت داده شده، از ترکیب چندین آسیب‌پذیری برای نفوذ و تثبیت حضور استفاده کرده است:
- CVE-2024-47575: یک آسیب‌پذیری بحرانی از نوع اجرای کد از راه دور (RCE) در FortiManager که پیش‌تر به عنوان یک زیرو دِی (zero-day) شناسایی شده بود.
- CVE-2025-61624: یک آسیب‌پذیری پیمایش مسیر (path traversal) که محصولات مختلف از جمله FortiOS، FortiPAM، FortiProxy و FortiSwitchManager را تحت تأثیر قرار می‌دهد. این نقص امنیتی به مهاجمان اجازه می‌دهد فایل‌های دلخواه را در سیستم بنویسند یا حذف کنند.
سازمان CISA ایالات متحده نیز آسیب‌پذیری CVE-2025-61624 را به لیست آسیب‌پذیری‌های شناخته‌شده در حال اکسپلویت (KEV) اضافه کرده و بر لزوم وصله (patch) فوری تأکید کرده است.
بدافزار پیشرفته PeerStitch
مهاجمان از آسیب‌پذیری‌های مذکور برای استقرار یک ایمپلنت (implant) جدید و ناشناخته به نام PeerStitch استفاده کردند. این بدافزار با ویژگی‌های زیر طراحی شده تا از شناسایی توسط سیستم‌های امنیتی سنتی جلوگیری کند:
- ماهیت حافظه‌محور (Memory-resident): این بدافزار در حافظه (RAM) باقی می‌ماند و برای کاهش ردپا، از باز کردن پورت‌های شنود یا برقراری اتصالات شبکه خروجی مستقیم خودداری می‌کند.
- ارتباطات پنهان: PeerStitch از طریق ترافیک تولید شده توسط فرآیندهای قانونی در دستگاه، ارتباطات خود را مخفیانه برقرار می‌کند.
- تکنیک تزریق (Injection): این ایمپلنت به عنوان یک “one-shot process memory patching injector” عمل می‌کند که هدف آن دستکاری سیستم مرکزی، ثبت ترافیک و سرویس‌های VPN (مانند IKE/IPsec) در FortiOS است تا یک پل ارتباطی مخفی ایجاد کند.
در جریان این حمله، عامل تهدید موفق شد با دسترسی به FortiManager، آرشیو پیکربندی شامل جزئیات بیش از ۵۰۰ فایروال FortiGate و ساختار شبکه قربانی را استخراج (exfiltrate) کند. این سطح از بلوغ فنی در بدافزارهای مربوط به تجهیزات لبه (edge devices)، نشان‌دهنده افزایش توانمندی گروه‌های APT در دور زدن مکانیزم‌های نظارتی است.
