Un fallo de Fortinet aprovechado está relacionado con un implante oculto en FortiGate en un ataque informático a una empresa de telecomunicaciones

Un grupo de ac­to­res de ame­na­zas pre­sun­ta­men­te pa­tro­ci­na­do por un Es­ta­do, iden­ti­fi­ca­do como UNC5820, vul­ne­ró a una or­ga­ni­za­ción del sec­tor de las te­le­co­mu­ni­ca­cio­nes me­dian­te el uso de fa­llas de se­gu­ri­dad en pro­duc­tos de For­ti­net. Esta in­tru­sión logró otor­gar­les ac­ce­so pro­lon­ga­do al en­torno de la víc­ti­ma. Para lo­grar el ac­ce­so ini­cial, los ata­can­tes apro­ve­cha­ron una vul­ne­ra­bi­li­dad crí­ti­ca de eje­cu­ción re­mo­ta de có­di­go en For­ti­Ma­na­ger, la cual fue ca­ta­lo­ga­da como una ame­na­za de día cero antes de re­ci­bir su co­rres­pon­dien­te par­che.

Pos­te­rior­men­te, los ata­can­tes uti­li­za­ron otra vul­ne­ra­bi­li­dad re­la­cio­na­da con el re­co­rri­do de rutas para con­se­guir ac­ce­so con pri­vi­le­gios de root al sis­te­ma ope­ra­ti­vo del cor­ta­fue­gos, lo que les per­mi­tió ins­ta­lar un im­plan­te ma­li­cio­so des­co­no­ci­do hasta en­ton­ces lla­ma­do PeerS­titch. Este soft­wa­re ma­li­cio­so fun­cio­na alo­ján­do­se en la me­mo­ria, ope­ran­do sin abrir puer­tos de es­cu­cha ni ge­ne­rar co­ne­xio­nes sa­lien­tes pro­pias, y en su lugar uti­li­za el trá­fi­co le­gí­ti­mo del dis­po­si­ti­vo para co­mu­ni­car­se de ma­ne­ra ocul­ta y evi­tar las va­li­da­cio­nes de se­gu­ri­dad ha­bi­tua­les.

Du­ran­te la ofen­si­va ci­ber­né­ti­ca, los ata­can­tes tam­bién su­plan­ta­ron al sis­te­ma de ad­mi­nis­tra­ción en las co­mu­ni­ca­cio­nes entre los dis­po­si­ti­vos para en­viar co­man­dos desde una in­fra­es­truc­tu­ra ex­ter­na, ade­más de bo­rrar evi­den­cias para di­fi­cul­tar el aná­li­sis fo­ren­se. Los ex­per­tos en ci­ber­se­gu­ri­dad des­ta­ca­ron que el uso de este tipo de im­plan­tes en la me­mo­ria evi­den­cia la evo­lu­ción téc­ni­ca de las ame­na­zas di­ri­gi­das a dis­po­si­ti­vos de borde para man­te­ner per­sis­ten­cia sin dejar ras­tros en el disco.