SandIA (Buenos Aires, 16 de octubre de 2026).- Un presunto actor de amenaza avanzada explotó una falla de Fortinet FortiOS para desplegar PEERSTITCH, un malware ARM64 residente en memoria no reportado antes, según publicó The Hacker News.
La vulnerabilidad explotada y su parche
El ataque involucra la explotación de CVE-2025-61624, una falla de path traversal con puntaje CVSS 5.4 en el intérprete de línea de comandos de FortiOS, FortiPAM, FortiProxy y FortiSwitchManager. La vulnerabilidad permite que un atacante privilegiado logre escritura o borrado arbitrario de archivos mediante argumentos especialmente diseñados en comandos existentes. Fortinet la corrigió en abril de 2026, de acuerdo con la información difundida por The Hacker News.
Qué hace PEERSTITCH y por qué es difícil de detectar
Los investigadores Daniel Gott y Shawn Westfall, de Palo Alto Networks Unit 42, afirmaron que PEERSTITCH no deja binarios persistentes en disco, no abre puertos a la escucha ni inicia conexiones de red salientes. En su lugar, se comunica mediante tráfico generado por procesos legítimos del equipo infectado, lo que lo vuelve resistente a la detección convencional de endpoint y de red. La firma de ciberseguridad detalló que el implante es un ejecutable Linux ARM64 de 64 bits escrito en C.
Del FortiManager comprometido al puente en memoria
Unit 42 descubrió la actividad durante una intrusión prolongada contra un proveedor de servicios gestionados de telecomunicaciones ocurrida en septiembre de 2024. El acceso inicial se obtuvo explotando una falla crítica de Fortinet FortiManager denominada FortiJump (CVE-2024-47575). Tras comprometer el appliance, los atacantes exfiltraron un archivo con configuraciones en ejecución, material criptográfico y bases de datos con información de más de 500 firewalls FortiGate gestionados.
El mecanismo de evasión en las sesiones VPN
El malware incluye un auto-script que descarga cinco componentes desde un servidor externo en la dirección 23.240.77[.]233:8085. El orquestador, llamado ipssem.js, lanza lldprx, un inyector que parchea la memoria de dos daemons centrales de FortiOS: /bin/miglogd y /bin/iked. Así crea un puente de comunicación encubierto entre ambos procesos legítimos y lo usa como cobertura para eludir la detección.
Cuando el hook de miglogd reconoce una marca específica en los datos que atraviesan el proceso, pasa el token de sesión asociado al daemon iked. Su hook busca ese identificador en sesiones VPN posteriores y, si la etiqueta aparece en el búfer de inyección de esa sesión, toma una ruta de ejecución alternativa que omite las validaciones de seguridad predeterminadas de FortiOS. Además, los atacantes establecieron un canal de mando y control aparte usando el módulo nativo Apache mod_md en firewalls FortiGate para abrir un shell inverso por SSH, y se hicieron pasar por la plataforma FortiManager para extraer datos de firewalls gestionados de otros equipos de la red objetivo.
Recomendaciones y alcance del riesgo
Unit 42 señaló que, aunque no es definitivo, se sospecha que los atacantes pudieron haber explotado otras fallas como CVE-2024-26009 y CVE-2024-26008. Sin embargo, aclaró que explotar esas vulnerabilidades requiere que el dispositivo esté enrolado en FortiGate Cloud o FortiCloud SSO, condición que ninguno de los firewalls afectados cumplía. La intrusión, rastreada como CL-STA-0954 (también conocida como UNC5820), incluyó medidas para borrar rastros forenses: terminación de la generación de syslog, limpieza de registros de fallos, interrupción de telemetría y eliminación automática de cuentas de administrador no autorizadas.