Palo Alto Networks сообщает о расследовании APT-атаки на телекоммуникационную организацию, в ходе которой задействовались многочисленные уязвимости Fortinet. Вторжение, приписываемое UNC5820 (CL-STA-0954), произошло в сентябре 2024 года и привело к длительному доступу к среде жертвы. Первоначальный доступ был получен путем эксплуатации критической RCE в FortiManager, отслеживаемой как CVE-2024-47575 и исправленной в октябре 2024 года как 0-day. Вскоре после выпуска обновлений Mandiant предупредила, что уязвимость, получившая название FortiJump, эксплуатировалась UNC5820 как минимум с июня 2024 года. Согласно новому отчету Palo Alto Networks, в рамках того же вторжения UNC5820 также реализовала другую CVE-2025-61624, связанную с обходом пути. Затрагивающая FortiOS, FortiPAM, FortiProxy и FortiSwitchManager ошибка была исправлена в апреле 2026 года. Она позволяет авторизованным злоумышленникам записывать или удалять произвольные файлы. На момент публикации Fortinet обозначила её как 0-day. В пятницу CISA добавило ее в свой список известных эксплуатируемых уязвимостей (KEV). По всей видимости, UNC5820 использовал 0-day для развертывания ранее неизвестного импланта FortiGate под названием PeerStitch, воспользовавшись обнаруженным путем обхода уязвимости. Вредоносная ПО для архитектуры ARM64 размещается в оперативной памяти, избегает открытия портов прослушивания или инициирования исходящих сетевых соединений и обменивается данными через трафик, генерируемый легитимными процессами на устройстве. В рамках атаки актор использовал FortiJump для доступа к центральному экземпляру FortiManager, зарегистрировал подконтрольное виртуальное устройство FortiGate и похитил архив конфигурации, содержащий подробную информацию о FortiManager, более чем 500 управляемых межсетевых экранах FortiGate и сети жертвы. Кроме того, был использован механизм CVE-2025-61624 для получения root-доступа к операционной системе брандмауэра, после чего был загружен скрипт для запуска развертывания PeerStitch. Написанный на C имплантат действует как «одноразовый инжектор для внесения изменений в память процесса», нацеленный на центральную систему и журналы трафика, а также на демоны службы IKE/IPsec VPN в FortiOS, создавая между ними скрытый, резидентный в памяти коммуникационный мост и обходя стандартные проверки безопасности FortiOS. Злоумышленник также выдавал себя за FortiManager в коммуникациях между FortiGate и FortiManager (FGFM), отдавая команды с внешней инфраструктуры, и тщательно затер все следы своей активности. По данным Palo Alto Networks, UNC5820 верифицировался либо путем завершения сессии подлинного FortiManager с использованием CVE-2024-26008, либо путем повторного использования украденных секретов и аутентификации в качестве легитимного FortiManager. Обнаружение вредоносной ПО PeerStitch, в целом, демонстрирует растущую техническую зрелость зловредов для периферийных устройств. Работая как одноразовый инжектор, избегая устойчивых артефактов на диске и создавая скрытый мост межпроцессного взаимодействия внутри памяти процесса, злоумышленники добились устойчивого присутствия, уклоняясь при этом от традиционного мониторинга.