Malware PEERSTITCH compromete firewalls Fortinet e burla VPNs com injeção em memória

Pesquisadores identificaram o PEERSTITCH, um malware sofisticado que ataca firewalls FortiGate (equipamentos Fortinet para segurança de rede) injetando código diretamente na memória de processos legítimos, sem deixar rastros em disco. O implante interfere com serviços de VPN e usa a interface ptrace do Linux para controlar daemons como o iked, responsável pela negociação de conexões IPsec, criando canais de comunicação ocultos entre processos comprometidos.

O ataque começou pelo FortiManager, plataforma de administração central de firewalls. Os invasores exploraram a CVE-2024-47575 (FortiJump), uma vulnerabilidade que permite execução remota de comandos sem autenticação na porta TCP 541, para roubar configurações, credenciais, certificados e chaves privadas de mais de 500 firewalls gerenciados. Embora o roubo de informações tenha atingido centenas de equipamentos, a investigação confirmou a infecção ativa pelo PEERSTITCH em uma campanha que combinou credenciais roubadas, manipulação de processos Linux e técnicas sofisticadas de evasão forense.