PEERSTITCH มัลแวร์ ARM64 ฝังในหน่วยความจำ FortiGate ผ่านช่องโหว่ FortiOS CVE-2025-61624 — ฮุก miglogd กับ iked ให้ VPN session ที่ติดแท็กข้ามการตรวจสอบ

สรุปสั้น

ทีม Unit 42 ของบริษัท Palo Alto Networks เปิดเผยมัลแวร์ตัวใหม่ชื่อ PEERSTITCH ซึ่งเป็นไบนารี ARM64 ที่ทำงานอยู่ในหน่วยความจำของไฟร์วอลล์ FortiGate กลุ่มผู้โจมตีที่สงสัยว่าเป็นกลุ่มระดับสูงซึ่ง Unit 42 ติดตามในชื่อ CL-STA-0954 (หรือ UNC5820) ติดตั้งมัลแวร์นี้ผ่านช่องโหว่ CVE-2025-61624 ใน FortiOS PEERSTITCH ไม่ทิ้งไบนารีถาวรบนดิสก์ ไม่เปิดพอร์ตรอรับการเชื่อมต่อ และไม่เริ่มการเชื่อมต่อออกไปเอง แต่สื่อสารผ่านทราฟฟิกที่โพรเซสปกติของเครื่องสร้างขึ้น จึงตรวจจับได้ยากทั้งจากฝั่ง endpoint และเครือข่าย

กลไกหลักคือการฮุกเดมอน miglogd และ iked ของ FortiOS เพื่อสร้างสะพานสื่อสารลับในหน่วยความจำ เมื่อ VPN session ใดติดแท็กที่กำหนด FortiOS จะเลือกเส้นทางทำงานสำรองที่ข้ามการตรวจสอบความปลอดภัยตามปกติ การบุกรุกทั้งหมดเริ่มต้นตั้งแต่กันยายน 2567 ที่ผู้ให้บริการ managed service ด้านโทรคมนาคมรายหนึ่ง ผ่านช่องโหว่ FortiJump (CVE-2024-47575) บน FortiManager ซึ่งเปิดทางให้ผู้โจมตีขโมยคอนฟิกและข้อมูลของไฟร์วอลล์ FortiGate ที่อยู่ภายใต้การจัดการกว่า 500 เครื่อง

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 16 ตุลาคม 2569 ว่า หลังยึด FortiManager ได้ ผู้โจมตีขโมยไฟล์บีบอัดที่มีคอนฟิกที่กำลังใช้งาน วัสดุเข้ารหัส และฐานข้อมูลของ FortiGate ที่จัดการอยู่กว่า 500 เครื่อง ได้แก่

• หมายเลขเครื่องของ FortiManager และความสัมพันธ์การจัดการกับอุปกรณ์ทุกตัวที่ลงทะเบียน
• ไฟล์คอนฟิกของ FortiGate กว่า 500 เครื่อง ทั้งโครงสร้างภายในและเครือข่ายลูกค้า
• ฐานข้อมูล SQLite ของระบบจัดการส่วนกลาง และรายการหมายเลขเครื่อง FortiGate กว่า 500 เครื่องพร้อม IP สาธารณะ
• แผนผังเครือข่าย ตารางเส้นทาง และคอนฟิกอินเทอร์เฟซ
• รหัสผ่านผู้ดูแล บัญชีภายใน และบัญชี SSL VPN ในรูปแบบเข้ารหัส รวมถึงใบรับรองและกุญแจส่วนตัว

ข้อมูลเหล่านี้ถูกใช้สำรวจเครือข่าย ตั้งช่องทางเข้าระยะยาว ดักทราฟฟิก เปิด SSL VPN session ที่ไม่ได้รับอนุญาตเข้าไฟร์วอลล์ขอบเครือข่าย ติดตั้งแบ็กดอร์ และใช้ช่องโหว่ยกระดับสิทธิ์ CVE-2025-61624 ติดตั้ง PEERSTITCH ผู้โจมตียังปลอมตัวเป็นแพลตฟอร์ม FortiManager เพื่อดึงข้อมูลจากไฟร์วอลล์ของโฮสต์อื่นในเครือข่ายเป้าหมาย และตั้งช่องทาง C2 แยกต่างหากผ่านโมดูล Apache mod_md ที่มากับ FortiGate เพื่อเปิด reverse shell ผ่าน SSH

Unit 42 สงสัยว่าผู้โจมตีอาจใช้ CVE-2024-26009 และ CVE-2024-26008 ร่วมด้วย แต่ระบุว่าการโจมตีช่องโหว่ทั้งสองต้องให้อุปกรณ์ลงทะเบียน FortiGate Cloud/FortiCloud SSO ซึ่งไฟร์วอลล์ที่ได้รับผลกระทบไม่มีเครื่องใดใช้ กลุ่มนี้ยังลบร่องรอยทางนิติวิทยาศาสตร์อย่างเป็นระบบ ทั้งหยุดการสร้าง syslog ล้าง crash log รบกวน telemetry และลบบัญชีผู้ดูแลปลอมกับ auto-script หลังใช้งาน

เว็บไซต์ SecurityWeek รายงานเพิ่มเติมเมื่อวันที่ 19 ตุลาคม 2569 ว่า หน่วยงาน CISA ของสหรัฐฯ เพิ่ม CVE-2025-61624 เข้าบัญชี Known Exploited Vulnerabilities (KEV) แล้วเมื่อวันศุกร์ที่ 16 ตุลาคม 2569 และสั่งให้หน่วยงานรัฐบาลกลางแพตช์ทันที โดย Fortinet เองระบุตั้งแต่ตอนเปิดเผยช่องโหว่ว่าถูกใช้โจมตีแบบ zero-day แล้ว รายงานยังสรุปว่าผู้โจมตีใช้ตัวตนของ FortiManager สั่งงานไฟร์วอลล์ผ่านโปรโตคอล FortiGate-to-FortiManager (FGFM) จากโครงสร้างพื้นฐานภายนอก ด้วยวิธีใดวิธีหนึ่ง คือตัด session ของ FortiManager ตัวจริงผ่าน CVE-2024-26008 หรือใช้ความลับที่ขโมยไปยืนยันตัวตนเป็น FortiManager ที่ถูกต้อง ก่อนหน้านี้บริษัท Mandiant เคยเตือนว่ากลุ่ม UNC5820 ใช้ FortiJump โจมตีมาตั้งแต่อย่างน้อยมิถุนายน 2567 ก่อนแพตช์ออกเมื่อตุลาคม 2567

วิธีการโจมตี

CVE-2025-61624 (CVSS 5.4) เป็นช่องโหว่ path traversal ในตัวแปลคำสั่ง CLI ของ FortiOS, FortiPAM, FortiProxy และ FortiSwitchManager ที่เปิดให้ผู้โจมตีที่มีสิทธิ์อยู่แล้วเขียนหรือลบไฟล์ใด ๆ ได้ผ่านอาร์กิวเมนต์ที่สร้างขึ้นเฉพาะ Fortinet แพตช์แล้วเมื่อเมษายน 2569

PEERSTITCH เป็นไฟล์ ELF ARM64 เขียนด้วยภาษา C มี auto-script ดาวน์โหลดส่วนประกอบ 5 ไฟล์จาก 23.240.77[.]233:8085 ได้แก่ pM.js (เตรียมสภาพแวดล้อมแล้วลบตัวเอง) a.js บันทึกเป็น index.js (โมดูลรันไทม์ Emscripten) a.wasm บันทึกเป็น index.wasm b.js บันทึกเป็น ipssem.js (ตัวควบคุมการติดตั้ง) และ dd บันทึกเป็น lldprx (ตัวฉีดโค้ดซึ่งเป็นแกนของ PEERSTITCH)

หลังหน่วงเวลา ipssem.js จะสั่งรัน lldprx ซึ่งค้นหาโพรเซส /bin/miglogd และ /bin/iked อ่านเลย์เอาต์หน่วยความจำ เกาะโพรเซสด้วย ptrace หยุดด้วย PTRACE_INTERRUPT จองหน่วยความจำที่รันได้ เขียนโค้ดอันตรายลงไป แล้วเปลี่ยนเส้นทางการทำงานผ่านโค้ดนั้น ฮุกใน miglogd จะมองหาเครื่องหมายในข้อมูลที่ไหลผ่าน คือพอร์ต TCP 8550 (ฝังอยู่ในข้อมูล ไม่ใช่พอร์ตที่เปิดรอ) และ IP 169.254.0.1 (link-local ใช้จับรูปแบบ) เมื่อพบจะส่ง session token ให้ iked ซึ่งเมื่อเจอ VPN session ที่มีแท็กนั้นก็จะข้ามการตรวจสอบความปลอดภัยของ FortiOS

ผลกระทบ

กรณีนี้แสดงให้เห็นว่าระบบจัดการอุปกรณ์ขอบเครือข่ายแบบรวมศูนย์อย่าง FortiManager เป็นเป้าที่คุ้มค่ามาก เพราะยึดได้จุดเดียวก็ได้ข้อมูลของไฟร์วอลล์ปลายทางหลายร้อยเครื่อง ทั้งของผู้ให้บริการเองและลูกค้า สำหรับ MSP หรือผู้ให้บริการโทรคมนาคมที่จัดการไฟร์วอลล์ให้ลูกค้าจำนวนมาก ความเสียหายจึงลามเป็นห่วงโซ่อุปทาน

PEERSTITCH ยังสะท้อนความก้าวหน้าของมัลแวร์บนอุปกรณ์ edge ที่ไม่ทิ้งไฟล์ ไม่เปิดพอร์ต และแฝงในโพรเซสปกติ เครื่องมือตรวจจับทั่วไปที่ดูไฟล์หรือการเชื่อมต่อจึงมองไม่เห็น ช่องทาง VPN ที่ข้ามการตรวจสอบได้ยังทำให้ผู้โจมตีเข้าออกเครือข่ายโดยดูเหมือน session ปกติ และการที่ช่องโหว่ซึ่งได้คะแนนเพียง 5.4 ถูกนำมาใช้ในห่วงโซ่ระดับนี้ เป็นเครื่องเตือนว่าไม่ควรจัดลำดับแพตช์ตาม CVSS อย่างเดียว

คำแนะนำ

• อัปเดต FortiOS, FortiPAM, FortiProxy และ FortiSwitchManager ให้แก้ CVE-2025-61624 ตามประกาศ FG-IR-26-122 และตรวจว่า FortiManager แพตช์ CVE-2024-47575 แล้ว
• หาก FortiManager เคยเปิดสู่อินเทอร์เน็ตหรือสงสัยว่าถูกบุกรุก ให้ถือว่าคอนฟิก รหัสผ่าน และกุญแจของ FortiGate ทุกเครื่องที่จัดการอยู่รั่วแล้ว เปลี่ยนรหัสผ่านผู้ดูแลและบัญชี SSL VPN ทั้งหมด และออกใบรับรองกับกุญแจใหม่
• ตรวจหาบัญชีผู้ดูแลและ auto-script ที่ไม่รู้จัก รวมถึงช่วงเวลาที่ syslog หยุดหรือ crash log ถูกล้าง
• ตรวจไฟล์ที่ไม่ควรมีบนอุปกรณ์ เช่น index.js, index.wasm, ipssem.js และ lldprx และการเกาะโพรเซส miglogd หรือ iked ด้วย ptrace (ประสานกับ Fortinet TAC เพื่อตรวจหน่วยความจำ)
• ตรวจ SSL VPN session ที่ผิดปกติ และการใช้งาน mod_md หรือ reverse shell ผ่าน SSH จากไฟร์วอลล์
• จำกัดการเข้าถึง FortiManager และอินเทอร์เฟซจัดการของ FortiGate ให้อยู่ในเครือข่ายจัดการที่แยกออกมาเท่านั้น
• CVE-2025-61624 อยู่ในบัญชี CISA KEV แล้ว ให้จัดเป็นแพตช์เร่งด่วนแม้คะแนน CVSS ต่ำ และเฝ้าระวังการเชื่อมต่อ FGFM จาก IP ที่ไม่ใช่ FortiManager ขององค์กร

Indicators of Compromise (IoCs)

แหล่งอ้างอิง

• PEERSTITCH Malware Deployed via FortiOS Flaw Bypasses Checks on Tagged VPN Sessions — The Hacker News
• FortiManager CVE-2024-47575 and PEERSTITCH Malware — Palo Alto Networks Unit 42
• FG-IR-26-122 — Fortinet PSIRT
• Exploited Fortinet Bug Linked to Stealthy FortiGate Implant in Telecom Hack — SecurityWeek
• Known Exploited Vulnerabilities Catalog — CISA