Securityonderzoekers van Palo Alto Networks melden dat een vermoedelijke staatssponsor actor een reeks Fortinet-kwetsbaarheden heeft uitgebuit in een aanval op een telecomorganisatie. Het doel was niet alleen binnenkomen, maar vooral ook lange tijd toegang behouden met een verfijnde, verhullende aanpak. Centraal daarbij staat de PeerStitch implant: malware die in het geheugen blijft en zo traditionele detectie omzeilt.
De ontdekking komt met een duidelijke urgentie. In de Verenigde Staten is één van de betrokken kwetsbaarheden, CVE-2025-61624, inmiddels toegevoegd aan de CISA Known Exploited Vulnerabilities (KEV)-lijst, met het advies om federale instanties direct te patchen.
Welke Fortinet-kwetsbaarheden speelden mee?
Volgens Palo Alto Networks begon de campagne al in 2024 met een initiële toegang via een kritieke fout in FortiManager: CVE-2024-47575. Die bug werd in oktober 2024 gepatcht, maar er waren signalen dat UNC5820 de kwetsbaarheid al eerder gebruikte. Kort daarna meldde Mandiant dat de actor de flaw volgens hun informatie al vanaf ten minste juni 2024 zou uitbuiten, nadat eerder patches waren uitgerold.
Daarna kwam er opnieuw een stap vooruit. In hun recente rapport beschrijven onderzoekers dat UNC5820 ook CVE-2025-61624 misbruikte: een path traversal-kwetsbaarheid die meerdere Fortinet-producten kan raken. De impact geldt onder andere voor FortiOS, FortiPAM, FortiProxy en FortiSwitchManager. Voor die fout is een patch beschikbaar gesteld in april 2026.
Fortinet merkte de uitbuiting destijds aan als een zero-day op het moment van bekendmaking. De door CISA opgenomen KEV-status benadrukt dat organisaties nu acuut moeten handelen.
Wat is de PeerStitch implant precies?
De PeerStitch implant is volgens de onderzoekers een nieuw ontdekte malware-component die is ingezet om de aanval duurzaam te maken. De aanpak valt op door de manier waarop het gedrag is ingericht: het kwaadaardige stuk draait als geheugen-residente code en blijft doelbewust onder de radar.
Een belangrijk detail: de implant zou geen listening ports openen en ook geen directe outbound netwerkverbindingen starten. In plaats daarvan communiceert de malware via het verkeer dat al door legitieme processen op de Fortinet-appliance wordt gegenereerd. Dat maakt het lastig om met enkel traditionele netwerkmonitoring of simpele “command-and-control”-patronen de activiteit te herkennen.
Hoe werkte de aanval in de praktijk?
Palo Alto Networks beschrijft dat UNC5820 de campagne opbouwde rondom centrale management-componenten. De actor gebruikte de FortiManager-omgeving als kern om vervolgens veel downstream-apparaten te bereiken.
- UNC5820 gebruikte FortiJump om toegang te krijgen tot een centrale FortiManager-instantie.
- Vervolgens werd een rogue Virtual FortiGate-apparaat geregistreerd.
- Daarna werd een configuratiearchief geëxfiltreerd met informatie over FortiManager, meer dan 500 managed FortiGate-firewalls en details over het netwerk van de victim.
Bij een latere stap werd CVE-2025-61624 uitgebuit om root-toegang te verkrijgen op de onderliggende firewall-omgeving. Daarna plaatste de actor een script om de PeerStitch-deployments te starten.
Geheugen-aanpassing en het omzeilen van controles
De onderzoekers schetsen dat PeerStitch in feite fungeert als een soort one-shot injector voor geheugengerichte wijzigingen. De implant richt zich daarbij op elementen in het runtime-geheugen en op log-/traffic-gerelateerde componenten.
Daarnaast zou PeerStitch zich richten op de IKE/IPsec VPN service daemons in FortiOS. Door gebruik te maken van in-memory technieken zou het een covert communicatiebrug tot stand brengen tussen processen. Daarmee wordt volgens Palo Alto Networks bovendien geprobeerd standaardvalidaties die FortiOS normaal gebruikt om misbruik te beperken, te omzeilen.
Opvallend is ook dat de actor managementauthenticatie probeerde te doen alsof het echte FortiManager om acties vroeg. Dat gebeurde op twee manieren:
- Door de sessie van het legitieme FortiManager te beëindigen via misbruik van CVE-2024-26008.
- Of door eerder geëxfiltreerde geheimen opnieuw te gebruiken om zich vervolgens als FortiManager te authenticeren.
Verder melden de onderzoekers dat UNC5820 uitgebreide maatregelen nam om digitale sporen te verminderen en forensische artefacten te elimineren.
Waarom deze aanpak zo lastig te detecteren is
De kern van het probleem zit in de combinatie van edge-device malware en een stealthy uitvoering.
Volgens Palo Alto Networks laat deze ontdekking zien dat aanvallers steeds beter worden in het ontwerpen van malware die specifiek op netwerkapparaten werkt. De PeerStitch implant draagt volgens het rapport bij aan langdurige persistence terwijl klassieke monitoring (zoals het zoeken naar blijvende disk-artefacten) minder effectief wordt, omdat de code in het geheugen is geconfigureerd en niet als “standaard backdoor” op schijf blijft hangen.
Wat moeten organisaties nu doen?
Hoewel dit artikel gebaseerd is op gepubliceerde onderzoeksinformatie, is de praktische boodschap helder: als je Fortinet-apparaten inzet binnen je telecom- of netwerklandschap, beoordeel dan direct je exposure voor de genoemde kwetsbaarheden.
- Patch CVE-2025-61624 zodra beschikbaar volgens je vendor- en changemanagementproces.
- Controleer of Fortinet-producten in gebruik zijn die door de path traversal fout geraakt kunnen worden (o.a. FortiOS, FortiPAM, FortiProxy, FortiSwitchManager).
- Voer een security review uit rond FortiManager-toegang en de integratie met managed FortiGate’s.
- Bekijk of er signalen zijn van ongebruikelijke managementactiviteiten, zoals rogue virtuele FortiGate-registraties of afwijkende FGFM-communicatiepatronen.
Wil je breder begrijpen hoe geavanceerde aanvallers misbruik maken van misleidende authenticatie en persistente technieken, dan kan ook een achtergrondartikel over AI-/APT-gedreven dreigingen helpen om je detectievisie te verbreden: MITRE ATT&CK v20: AI-misbruik en MFA-bypass.
Daarnaast is het relevant om te beseffen dat “zero-day”-uitbuiting niet altijd via één productlijn gebeurt. Een vergelijkbare insteek met patches na exploitatie lees je mogelijk ook in BeyondTrust Remote Support: zero-day misbruik, waarin de focus ligt op hoe aanvallers snel toegang grijpen en bestaande trust-relaties benutten.
Conclusie
De telecomhack die Palo Alto Networks beschrijft, laat zien hoe een aanvaller met stapsgewijze Fortinet-exploits kan uitgroeien tot langdurige, moeilijk te detecteren toegang. De PeerStitch implant vormt daarbij een technisch opvallend onderdeel: geheugen-resident, zonder directe netwerklisteners, en met communicatie via normaal applicatieverkeer.
Omdat CVE-2025-61624 inmiddels op de CISA KEV-lijst staat, is het voor organisaties die Fortinet-producten gebruiken extra belangrijk om prioriteit te geven aan patching en aan het controleren van management- en integratieprocessen. Door nu gericht te handelen, verklein je de kans dat een vergelijkbaar scenario in jouw omgeving kan landen.
1 reactie