A Unit 42 szerint egy 2024 szeptemberi támadás során egyetlen FortiManager feltörése elég volt ahhoz, hogy a támadók megszerezzék egy távközlési szolgáltató és ügyfelei több mint 500 tűzfalának jelszavait, titkosítási kulcsait és hálózati térképét. Utána olyan kártevőt telepítettek, amely nem hagy fájlt a lemezen, nem nyit portot, és nem indít saját internetkapcsolatot. A kutatók a csoportot CL-STA-0954 (más néven UNC5820) néven követik. A támadás egyes elemei olyan behatolásokra emlékeztetnek, amelyeket állami hátterű csoportoknak tulajdonítanak.
A támadók a CVE-2024-47575, ismertebb nevén FortiJump hibát használták. Ez lehetővé tette, hogy hitelesítés nélkül, távolról parancsokat futtassanak a FortiManager menedzsmentkapcsolatán. Külső szerverről regisztráltak egy hamis, „localhost” nevű virtuális FortiGate-et a központi berendezésre. Közvetlenül ezután a FortiManager fájlrendszerében létrehoztak egy .tm nevű archívumot, amelyet nem sokkal később letöltöttek a hálózatból.
Az archívum rendkívül értékes volt. Megtalálható volt benne a FortiManager sorozatszáma, a hozzá tartozó összes eszköz listája, több mint 500 FortiGate teljes konfigurációja, két központi adatbázis, valamint a tűzfalak sorozatszámai és nyilvános IP címei. Emellett hálózati térképeket, útválasztási adatokat, visszafejthető jelszavakat, tanúsítványokat és privát kulcsokat is tartalmazott. A kutatók csak a szolgáltató saját hálózatát vizsgálták. Az ügyfélhálózatokba való behatolást nem igazolták, csak azt, hogy ezeknek a hálózatoknak a konfigurációja és hitelesítési adatai kiszivárogtak.
Egy hosszabb várakozás után a támadók a FortiManagerről csomagelfogó szabályokat küldtek több tűzfalra. Ezek a titkosítatlan http forgalmat és több belső szolgáltatást figyeltek. Egyes esetekben a jelszavak lehallgatása volt a cél, más esetekben belső kommunikációt, hálózati térképet vagy aktív gépeket kerestek. Később a határvédelmi tűzfalakon a TFTP-t, a RADIUS-t és az LDAP-t is gyűjtötték. Ezek a szolgáltatások fájlmegosztást, hálózati bejelentkezést és címtárlekérdezést kezelnek.
A kiszivárgott konfigurációkban a jelszavak visszafejthető formában szerepeltek. A kutatók maguk is feltörték az adminisztrátori és SSL VPN jelszavakat. A támadók ezekkel a jelszavakkal szabályos SSL VPN kapcsolatokat építettek ki a határtűzfalakra. Így már nem hibát használtak, hanem érvényes belépési adatokkal jutottak be a belső menedzsmenthálózatba.
A FortiOS adminisztrátorai, még a super_admin is, csak korlátozott parancssort kapnak, shellt nem. A rendszer működtető háttérszolgáltatásai viszont rootként futnak a felület alatt. A CVE-2025-61624 hiba lehetővé tette, hogy a támadók ebből a korlátozott felületből rootjogot szerezzenek. A hiba az auto-script objektumok nevének hiányos ellenőrzésén alapul. A támadók egy ../../../../setup nevű objektumot hoztak létre, amellyel a scriptet a megengedett könyvtáron kívülre helyezték. Ez a script indította a PEERSTITCH kártevőt.
A PEERSTITCH nem külön fájlként fut a tűzfalon, hanem beépül két már működő háttérszolgáltatás memóriájába. Az egyik a naplózást, a másik az IPsec VPN kapcsolatokat kezeli. A kártevő a saját kódját közvetlenül a memóriájukba írja, letiltja a manipuláció elleni ellenőrzéseket, és a két folyamat között titkos csatornát épít. Ennek hatására bizonyos VPN munkameneteknél kihagyhatja a FortiOS alapértelmezett biztonsági ellenőrzéseit. Mivel nem hagy fájlt a lemezen, nem nyit portot, és nem indít saját internetkapcsolatot, a hagyományos figyelőeszközök nehezen veszik észre.
A támadók egy második csatornát is építettek. A FortiGate tanúsítványkezelő funkcióját használták arra, hogy a tűzfal a támadó szerverétől kapott utasításokat futtasson. A támadók olyan tartománynevet küldtek, amelybe shell parancsot ágyaztak, és ez SSH-alapú fordított shellt nyitott a támadó gépe felé. A tanúsítvány-megújítási folyamatot folyamatosra állították, így a rejtett csatorna újra és újra létrejött.
A 541-es porton külső infrastruktúráról „FortiGateCloud” nevű adminisztrátor töltötte le több tűzfal teljes konfigurációját. A szervezetnek nem volt FortiManager Cloud előfizetése, és ilyen fiókot sem hozott létre. A Unit 42 közepes bizonyossággal úgy értékeli, hogy a támadók a FortiManagert személyesítették meg. Ehhez két út állt nyitva, és a bizonyítékok nem döntik el, melyiket használták. Az egyik a CVE-2024-26009 hitelesítési kerülőút a FortiManager sorozatszámával. A másik a kiszivárgott bizalmi anyag közvetlen felhasználása. A valódi FortiManager munkamenetét előbb meg kellett szakítani. Ezt valószínűleg a CVE-2024-26008-cal érték el, de a naplók nem rögzítették a forgalmat, ezért nem erősíthető meg. A kutatók kizárták a FortiCloud SSO-t érintő hibákat, mert a tűzfalak nem voltak beléptetve ebbe a szolgáltatásba. A támadók csak a fióknevet használták újra.
A nyomok eltüntetésére a támadók leállították a naplózó folyamatokat, és törölték az összeomlási naplókat. Néhány pillanattal a futtatás után visszavonták a hamis adminokat, VPN-csoportokat és auto-script objektumokat. A tanúsítványkezelő konfigurációját ártalmatlan szövegre cserélték, a kártevő pedig törölte magát a lemezről. A menedzsmentinterfészen megfigyelt időszakos telemetriakiesést a Unit 42 közepes bizonyossággal szándékos zavarásnak tekinti.
Felfedezett IoC-k és YARA szabályok a forrás cikkben szerepelnek: