El malware PEERSTITCH, difundido a través de una vulnerabilidad de FortiOS, elude los controles de las sesiones VPN etiquetadas

Un grupo de ac­to­res de ame­na­zas ha sido vin­cu­la­do con el uso de una vul­ne­ra­bi­li­dad en For­tiOS para ins­ta­lar un pro­gra­ma ma­li­cio­so lla­ma­do PEERSTITCH. Este có­di­go opera ex­clu­si­va­men­te en la me­mo­ria RAM, sin dejar ar­chi­vos per­sis­ten­tes en el disco, sin abrir puer­tos de es­cu­cha ni ge­ne­rar co­ne­xio­nes sa­lien­tes pro­pias, lo que di­fi­cul­ta su de­tec­ción por me­ca­nis­mos tra­di­cio­na­les de se­gu­ri­dad en redes y ter­mi­na­les.

La in­ves­ti­ga­ción de este com­por­ta­mien­to se ori­gi­nó tras una in­tru­sión en una em­pre­sa de ser­vi­cios ges­tio­na­dos de te­le­co­mu­ni­ca­cio­nes. Los ata­can­tes ob­tu­vie­ron ac­ce­so ini­cial me­dian­te el apro­ve­cha­mien­to de una falla en For­ti­Ma­na­ger, lo que les per­mi­tió ex­traer ar­chi­vos de con­fi­gu­ra­ción, bases de datos, cla­ves crip­to­grá­fi­cas y cre­den­cia­les que afec­ta­ban a nu­me­ro­sos cor­ta­fue­gos ges­tio­na­dos.

Con la in­for­ma­ción ro­ba­da, los ata­can­tes rea­li­za­ron ta­reas de re­co­no­ci­mien­to, es­ta­ble­cie­ron ac­ce­sos pro­lon­ga­dos y uti­li­za­ron otra vul­ne­ra­bi­li­dad para im­ple­men­tar PEERSTITCH. Este malwa­re in­yec­ta có­di­go ma­li­cio­so en pro­ce­sos le­gí­ti­mos del sis­te­ma ope­ra­ti­vo para es­ta­ble­cer un canal de co­mu­ni­ca­ción in­terno y en­cu­bier­to, el cual per­mi­te ma­ni­pu­lar las se­sio­nes de VPN para elu­dir las va­li­da­cio­nes de se­gu­ri­dad ha­bi­tua­les.

Adi­cio­nal­men­te, los res­pon­sa­bles eli­mi­na­ron ras­tros fo­ren­ses me­dian­te la des­ac­ti­va­ción de re­gis­tros y la eli­mi­na­ción de cuen­tas y scripts. El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre otras po­si­bles vul­ne­ra­bi­li­da­des uti­li­za­das en el ata­que.