Een geavanceerde dreigingsgroep is in het wild waargenomen met PEERSTITCH malware, nadat een kwetsbaarheid in Fortinet FortiOS is uitgebuit. Wat deze implant extra gevaarlijk maakt, is de manier waarop hij zich gedraagt: geheugenresident, zonder blijvende bestanden op disk, en zó opgezet dat detectie via gangbare endpoint- en netwerkregels lastiger wordt.
Volgens Unit 42 van Palo Alto Networks is de aanval onderdeel van een langere intrusie richting een telecombeheerde serviceprovider. Daarbij werden ook grote hoeveelheden configuratie- en sleutelgerelateerde data uit Fortinet-ecosystemen gehaald, om daarna lateraal en langdurig toegang te realiseren.
Welke Fortinet-fout wordt misbruikt?
De kern van de initiële stap draait om CVE-2025-61624. Dit betreft een pad-traversal-kwetsbaarheid in de command line interpreter van FortiOS en ook in gerelateerde componenten: FortiPAM, FortiProxy en FortiSwitchManager. In de beschrijving kan een aanvaller met speciaal geconstrueerde argumenten een bevoorrechte gebruiker in staat stellen om arbitraire bestanden weg te schrijven of te verwijderen.
Fortinet heeft de kwetsbaarheid in april 2026 gepatcht. De CVSS-score die Unit 42 noemt is 5.4, wat aangeeft dat de fout niet extreem hoog is, maar wel degelijk misbruikbaar wanneer toegang en precisie aanwezig zijn.
Hoe PEERSTITCH malware detectie omzeilt
Een opvallend detail aan PEERSTITCH malware is dat hij geen “klassiek” sporenpatroon volgt. Unit 42 stelt dat de implant:
- geen persistente executable op schijf achterlaat
- geen luisterende poorten opent
- geen directe outbound netwerkverbinding start
In plaats daarvan gebruikt de malware communicatie die ontstaat door legitieme processen op het besmette systeem. Dat maakt het lastiger om met conventionele endpoint- of network signatures eenduidig te concluderen dat er malware draait.
64-bit ARM64 en een “one-shot” injector
De PEERSTITCH implant is een 64-bit Linux ARM64 uitvoerbaar bestand, geschreven in C. In de beginfase bevat de aanval een auto-script dat via een extern adres meerdere componenten ophaalt. Een deel van die onderdelen wordt na gebruik ook weer zelf verwijderd.
Daarna volgt een fase met vertraging: pas na een korte wachttijd start de daadwerkelijke operatie. De orchestrator activeert vervolgens een native ARM64 component die als injector fungeert. Die injector richt zich op twee kern-demons van FortiOS: /bin/miglogd en /bin/iked.
Het mechanisme leunt op process memory patching:
- de lopende processen worden gevonden en hun geheugenlayout wordt geïnventariseerd
- de injector koppelt aan de processen met ptrace
- de uitvoering wordt onderbroken met PTRACE_INTERRUPT
- er wordt executable geheugen toegewezen
- kwaadaardige code wordt geschreven en vervolgens wordt execution omgeleid
Het doel is geen “normale” netwerkverbinding, maar een covert communicatiebrug tussen twee legitieme FortiOS-processen, rechtstreeks in geheugen. Zo omzeilt de aanvaller de verwachting dat kwaadaardige communicatie zichtbaar is als losse C2-traffic of als nieuwe persistence op het systeem.
Marker-gebaseerde sessie-aansturing in VPN-verkeer
De hook in miglogd herkent een marker in de gegevens die het proces doorgeeft. Unit 42 noemt daarbij twee specifieke markers:
- een TCP-poortmarker van 8550 (ingebed in data, niet als luisterpoort)
- een IP-adresmarker 169.254.0.1 (link-local identifier voor pattern matching)
Zodra miglogd die marker detecteert, wordt een bijbehorende sessietoken/identifier doorgegeven aan iked. De hook in iked controleert later, wanneer VPN-sessies worden afgehandeld, of die tag aanwezig is in de injectiebuffer. Als dat zo is, volgt het proces een alternatief pad waarmee standaard FortiOS-validaties worden omzeild.
Met andere woorden: de ingebedde code verandert hoe de VPN-daemon omgaat met specifieke sessies. Dat maakt het gedrag functioneel en contextueel, in plaats van “altijd hetzelfde” malwareverkeer te vertonen.
Meer dan alleen PEERSTITCH: data-exfiltratie en toegang op schaal
PEERSTITCH is niet het enige element in het incident. Unit 42 beschrijft dat de aanvallers na een succesvolle compromis van de appliance een archief hebben buitgemaakt. Dat archief bevatte onder meer draaiende configuraties, cryptografisch materiaal en databasebestanden met informatie over meer dan 500 managed FortiGate firewalls.
Concreet ging het onder andere om:
- de serienummers van de FortiManager appliance en relaties met ingeschreven apparaten
- running configuration files van FortiGate-apparaten in interne infrastructuur en bij klantnetwerken
- centrale management SQLite-databases
- een inventaris met FortiGate-serienummers en bijbehorende publieke IP-adressen
- topologiemaps, routing-tabellen en interfaceconfiguraties
- gecodeerde administratieve credentials en SSL/VPN-gegevens
- geëncodeerd trust-materiaal met certificaten en private keys
Met deze informatie konden de aanvallers onder andere reconnaissance doen, langdurige toegang opbouwen en verkeer onderscheppen. Ook wordt beschreven dat ze onbedoelde FortiGate SSL/VPN-sessies op perimeter firewalls konden opzetten, backdoors inzetten en vervolgens een privilege-escalatievariant gebruiken om PEERSTITCH malware te deployen.
C2 en aanvullende technieken
Naast de geheugenbrug beschreven onderzoekers ook een extra command-and-control manier. Daarbij is gebruikgemaakt van de native Apache mod_md module op FortiGate. Daarmee kon een SSH-gebaseerde reverse shell worden gestart.
De groep liet daarnaast zien dat ze vertrouwd is met Fortinet appliance-architectuur, FortiOS internals en FortiOS-managementprotocollen. Voor initiële toegang werd in Unit 42’s analyse eerder een kritieke FortiManager-kwetsbaarheid genoemd: FortiJump (CVE-2024-47575).
Forensische sporen en stealth-gedrag
Om sporen te reduceren zouden de aanvallers meerdere maatregelen hebben genomen, zoals het stoppen van syslog-generatie, het wissen van crash logs, het verstoren van logging telemetry en het automatisch verwijderen van rogue administrator accounts en auto-script objecten na uitvoering.
In de praktijk betekent dit: zelfs wanneer je de eerste compromise herkent, kan het lastig zijn om achteraf precies te reconstrueren wat er wanneer is gebeurd.
Wat betekent dit voor jouw Fortinet-omgeving?
Als je met Fortinet-ecosystemen werkt, is het belangrijkste om CVE-2025-61624 en de bijbehorende patchstatus te controleren. Unit 42 noemt dat Fortinet de fout al in april 2026 heeft gerepareerd. Zorg dat zowel FortiOS als de relevante componenten in je scope zijn bijgewerkt en dat updates ook daadwerkelijk actief zijn op de beheerde toestellen.
Daarnaast is het verstandig om je detectie- en response-aanpak aan te passen op stealth die niet leunt op “traditionele” netwerkconnecties. Omdat PEERSTITCH malware verkeer via legitieme processen benut, kunnen normale IOC’s minder vertellen. Richt je daarom ook op afwijkend proces- en sessiegedrag, en op het controleren van VPN-sessiestromen waar marker-achtige patronen mogelijk relevant zijn.
Wil je bredere context rond het omzetten van losse security-signalen naar actie? Lees dan ook: contextuele cybersecurity: van losse alerts naar actie.
Handige vervolgstappen en gerelateerde aandachtspunten
Deze casus laat zien hoe aanvallers centrale edge management omzetten naar een schaalbare aanvalsketen. Wil je inzicht in hoe zulke stealth-aanvallen in endpoint- of systeemcontexten kunnen spelen, dan kan deze link helpen:
Tot slot: als je veel Fortinet-omgevingen beheert, neem niet alleen firmware/patching mee, maar ook de bredere impact van exfiltratie van configuraties en cryptografische gegevens. Bij een succesvolle diefstal van vertrouwensmateriaal (certificaten en private keys) kan herbeoordeling en rotatie nodig zijn, afhankelijk van je threat model.
Conclusie
PEERSTITCH malware illustreert een trend richting geheugenresident en “living-off-the-land”-achtige implantatie. Door te mikken op FortiOS-processen en communicatie te verbergen in normaal gedrag van legitieme daemons, worden traditionele detectiemethoden sneller omzeild. Tegelijkertijd benadrukt de onderliggende intrusieketen hoe belangrijk patchmanagement en contextgerichte monitoring zijn—zeker in omgevingen met gecentraliseerd edge management en VPN-functionaliteit.
De beste verdediging begint met het uitsluiten van misbruik van CVE-2025-61624 via correcte Fortinet-updates, gevolgd door het aanscherpen van je detectie op proces- en sessieniveau.
Bron: https://thehackernews.com/2026/10/attackers-exploit-fortios-flaw-to.html
