-
15 oktober 2026 om 14:26 | person_outline 34
Aanvallers gebruiken zero-day kwetsbaarheden in Fortinet-apparatuur om telecommunicatieprovider te compromitteren
Een telecommunicatie managed service provider is het doelwit geworden van geavanceerde aanvallers die kwetsbaarheden in centraal beheerde en firewall-systemen van Fortinet hebben uitgebuit. De aanval begon met de compromittering van een FortiManager-apparaat, waarna inloggegevens werden verkregen, netwerkverkeer werd gemonitord en malware werd geïmplementeerd.
De aanvallers maakten misbruik van CVE-2024-47575, ook bekend als FortiJump, een zero-day kwetsbaarheid in FortiManager. Hiermee konden zij, zonder authenticatie, commando's uitvoeren via het beheerkanaal. Dit leidde tot blootstelling van configuraties en gevoelige gegevens van meer dan 500 beheerde FortiGate-firewalls. Het is echter niet bevestigd dat de firewalls van de klanten zelf gecompromitteerd waren.
Het gestolen archief bevatte firewall-configuraties, netwerkdetails, inloggegevens en cryptografisch vertrouwensmateriaal. Dit gaf de aanvallers een gedetailleerd overzicht van de beheerde omgeving, inclusief apparaat-serienummers, publieke IP-adressen, netwerkroutes, firewall-regels en beheerrelaties. Ook versleutelde administratieve en VPN-inloggegevens en certificaten waren aanwezig, waarvan de wachtwoorden hersteld konden worden uit de configuratiebestanden.
Na een periode van inactiviteit werden ongeautoriseerde packet-capture-instellingen naar beheerde firewalls gestuurd. Deze instellingen monitorden ongecodeerd HTTP-verkeer en specifieke diensten zoals externe beheer- en netwerkdetectiediensten. Ook TFTP, RADIUS en LDAP-verkeer werden vastgelegd, wat bestanden, authenticatiegegevens en directory-activiteit kon onthullen.
Met de herstelde inloggegevens openden de aanvallers ongeautoriseerde FortiGate VPN-sessies en kregen ze toegang tot interne netwerkbeheergebieden. Gestolen vertrouwensmateriaal en apparaatinformatie werden gebruikt om de activiteiten uit te breiden.
Vervolgens werd een tweede kwetsbaarheid, CVE-2025-61624, misbruikt via de `system.auto-script` functie van FortiOS. Deze pad-traversal kwetsbaarheid stelde een geauthenticeerde beheerder in staat om bestanden buiten de beoogde map te schrijven, waardoor het script op rootniveau werd uitgevoerd. Dit gaf de aanvallers controle over het onderliggende besturingssysteem van de firewall. Een loader werd op geselecteerde apparaten geplaatst, die vervolgens een native ARM64-executable genaamd `lldprx` ophaalde.
De `lldprx` executable zocht naar de FortiOS-processen `miglogd` (logging) en `iked` (IKE en IPsec VPN-functies). Het PEERSTITCH-malware-implantaat werd ingezet, dat binnen deze processen draaide. Het koppelde zich aan beide processen en creëerde een geheugengebied waarin de payload werd geplaatst. PEERSTITCH gebruikte vervolgens het procesgeheugen om sessietags door te geven tussen de processen. Wanneer VPN-verkeer specifieke markers matcheerde, kon het implantaat normale FortiOS-beveiligingscontroles omzeilen. Dit maakt het implantaat moeilijk te detecteren, aangezien het geen persistente malware-binair achterlaat, geen poort opent en geen eigen uitgaande verbinding maakt.
Om een aparte route voor externe controle te creëren, maakten de aanvallers misbruik van de `mod_md` module van Apache. Hierdoor konden zij een reverse shell opzetten en herhaaldelijk contact leggen met hun infrastructuur.
Ter bemoeilijking van onderzoek werden logging services gestopt, crashlogs opgeruimd, ongeldige accounts en auto-script objecten verwijderd, en een kwaadaardig Apache-configuratiebestand vervangen. De `lldprx` injector verwijderde zijn eigen bestand en stopte het staging-proces.
Organisaties wordt geadviseerd om logboeken van FortiManager en FortiGate te controleren op onverwachte apparaatregistraties, onbekende beheerdersaccounts, verdachte VPN-sessies en auto-script vermeldingen met pad-traversal strings zoals `../../`. Firewall-configuraties dienen te worden vergeleken met bekende goede back-ups. Inloggegevens, certificaten en vertrouwensmateriaal die op een gecompromitteerde beheerserver zijn opgeslagen, moeten als blootgesteld worden beschouwd. Specifieke detectie van PEERSTITCH vereist onderzoek van geheugenkaarten van `miglogd` en `iked` op anonieme 16-kilobyte regio's, geheugenpatches, cross-process schrijfacties en verdachte auto-script objecten. Het is cruciaal om verdedigingen tegen nieuwe malware zo snel mogelijk te updaten en TI-feeds te integreren met gegevens van SOC's.
De aanvallers maakten misbruik van CVE-2024-47575, ook bekend als FortiJump, een zero-day kwetsbaarheid in FortiManager. Hiermee konden zij, zonder authenticatie, commando's uitvoeren via het beheerkanaal. Dit leidde tot blootstelling van configuraties en gevoelige gegevens van meer dan 500 beheerde FortiGate-firewalls. Het is echter niet bevestigd dat de firewalls van de klanten zelf gecompromitteerd waren.
Het gestolen archief bevatte firewall-configuraties, netwerkdetails, inloggegevens en cryptografisch vertrouwensmateriaal. Dit gaf de aanvallers een gedetailleerd overzicht van de beheerde omgeving, inclusief apparaat-serienummers, publieke IP-adressen, netwerkroutes, firewall-regels en beheerrelaties. Ook versleutelde administratieve en VPN-inloggegevens en certificaten waren aanwezig, waarvan de wachtwoorden hersteld konden worden uit de configuratiebestanden.
Na een periode van inactiviteit werden ongeautoriseerde packet-capture-instellingen naar beheerde firewalls gestuurd. Deze instellingen monitorden ongecodeerd HTTP-verkeer en specifieke diensten zoals externe beheer- en netwerkdetectiediensten. Ook TFTP, RADIUS en LDAP-verkeer werden vastgelegd, wat bestanden, authenticatiegegevens en directory-activiteit kon onthullen.
Met de herstelde inloggegevens openden de aanvallers ongeautoriseerde FortiGate VPN-sessies en kregen ze toegang tot interne netwerkbeheergebieden. Gestolen vertrouwensmateriaal en apparaatinformatie werden gebruikt om de activiteiten uit te breiden.
Vervolgens werd een tweede kwetsbaarheid, CVE-2025-61624, misbruikt via de `system.auto-script` functie van FortiOS. Deze pad-traversal kwetsbaarheid stelde een geauthenticeerde beheerder in staat om bestanden buiten de beoogde map te schrijven, waardoor het script op rootniveau werd uitgevoerd. Dit gaf de aanvallers controle over het onderliggende besturingssysteem van de firewall. Een loader werd op geselecteerde apparaten geplaatst, die vervolgens een native ARM64-executable genaamd `lldprx` ophaalde.
De `lldprx` executable zocht naar de FortiOS-processen `miglogd` (logging) en `iked` (IKE en IPsec VPN-functies). Het PEERSTITCH-malware-implantaat werd ingezet, dat binnen deze processen draaide. Het koppelde zich aan beide processen en creëerde een geheugengebied waarin de payload werd geplaatst. PEERSTITCH gebruikte vervolgens het procesgeheugen om sessietags door te geven tussen de processen. Wanneer VPN-verkeer specifieke markers matcheerde, kon het implantaat normale FortiOS-beveiligingscontroles omzeilen. Dit maakt het implantaat moeilijk te detecteren, aangezien het geen persistente malware-binair achterlaat, geen poort opent en geen eigen uitgaande verbinding maakt.
Om een aparte route voor externe controle te creëren, maakten de aanvallers misbruik van de `mod_md` module van Apache. Hierdoor konden zij een reverse shell opzetten en herhaaldelijk contact leggen met hun infrastructuur.
Ter bemoeilijking van onderzoek werden logging services gestopt, crashlogs opgeruimd, ongeldige accounts en auto-script objecten verwijderd, en een kwaadaardig Apache-configuratiebestand vervangen. De `lldprx` injector verwijderde zijn eigen bestand en stopte het staging-proces.
Organisaties wordt geadviseerd om logboeken van FortiManager en FortiGate te controleren op onverwachte apparaatregistraties, onbekende beheerdersaccounts, verdachte VPN-sessies en auto-script vermeldingen met pad-traversal strings zoals `../../`. Firewall-configuraties dienen te worden vergeleken met bekende goede back-ups. Inloggegevens, certificaten en vertrouwensmateriaal die op een gecompromitteerde beheerserver zijn opgeslagen, moeten als blootgesteld worden beschouwd. Specifieke detectie van PEERSTITCH vereist onderzoek van geheugenkaarten van `miglogd` en `iked` op anonieme 16-kilobyte regio's, geheugenpatches, cross-process schrijfacties en verdachte auto-script objecten. Het is cruciaal om verdedigingen tegen nieuwe malware zo snel mogelijk te updaten en TI-feeds te integreren met gegevens van SOC's.
Facts
1. Aanvallers hebben een telecommunicatie managed service provider gecompromitteerd door kwetsbaarheden in centraal beheerde en firewall systemen van Fortinet te misbruiken. De aanvallers begonnen hun operatie met de compromittering van een FortiManager-apparaat, het gebruik van inloggegevens, netwerkmonitoring en de implementatie van malware.
2. De aanvallers misbruikten de kwetsbaarheid CVE-2024-47575, ook bekend als FortiJump, tegen FortiManager. Deze kwetsbaarheid stelde een niet-geauthenticeerde externe aanvaller in staat om via het beheerkanaal van het apparaat commando's uit te voeren.
3. Er is eerder bericht over de misbruikte FortiManager zero-day kwetsbaarheid en de massale compromittering van FortiManager-apparaten, wat de exploitatie van CVE-2024-47575 achtergrondinformatie geeft.
4. Het gecompromitteerde FortiManager-apparaat leidde tot blootstelling van configuraties en gevoelige gegevens van meer dan 500 beheerde FortiGate-firewalls. De blootstelling van deze gegevens bevestigde niet dat de firewalls van de klanten ook gecompromitteerd waren.
5. Het gestolen archief, dat door de aanvallers was aangemaakt na registratie van een ongeregistreerd apparaat, bevatte firewall-configuraties, netwerkdetails, inloggegevens en cryptografisch vertrouwensmateriaal. Dit gaf de aanvallers een overzicht van de beheerde omgeving, inclusief apparaat-serienummers, publieke IP-adressen, netwerkroutes, firewall-regels en beheerrelaties.
6. Het archief bevatte ook versleutelde administratieve en VPN-inloggegevens en certificaten die gebruikt werden voor vertrouwensrelaties tussen FortiManager en beheerde apparaten. Administratieve en VPN-wachtwoorden konden uit de gestolen configuratiebestanden worden hersteld.
7. Er is eerder bericht over een datalek van FortiGate firewall-configuraties, wat een herinnering is dat gestolen firewall-instellingen inloggegevens en netwerkontwerpen kunnen onthullen.
8. Na een periode van inactiviteit gebruikten de aanvallers het gecompromitteerde beheersysteem om ongeautoriseerde packet-capture-instellingen naar beheerde firewalls te sturen. Deze instellingen monitorden ongecodeerd HTTP-verkeer en specifieke diensten, waaronder externe beheer- en netwerkdetectiediensten. Er werden ook captures waargenomen gericht op TFTP, RADIUS en LDAP-verkeer, wat bestanden, authenticatiegegevens en directory-activiteit kon onthullen.
9. Met herstelde inloggegevens openden de aanvallers ongeautoriseerde FortiGate VPN-sessies en kregen ze toegang tot interne netwerkbeheergebieden. De aanvallers gebruikten gestolen vertrouwensmateriaal en apparaatinformatie om hun activiteiten uit te breiden buiten het eerste apparaat.
10. De aanvallers gebruikten een tweede kwetsbaarheid, CVE-2025-61624, via de `system.auto-script` functie van FortiOS. Deze pad-traversal kwetsbaarheid stelde een geauthenticeerde beheerder in staat om bestanden buiten de beoogde map te schrijven, waarbij het script op rootniveau werd uitgevoerd.
11. Deze toegang hielp de aanvallers om vanuit een beperkte beheerdersinterface controle te krijgen over het onderliggende besturingssysteem van de firewall. De aanvallers gebruikten een traversal-string in een auto-script object om een loader op geselecteerde apparaten te plaatsen.
12. De loader haalde meerdere bestanden op, waaronder JavaScript- en WebAssembly-componenten, en een native ARM64-executable genaamd `lldprx`. Na enige vertraging startte het implementatiescript de executable, die zocht naar twee FortiOS-processen: `miglogd` (verantwoordelijk voor logging) en `iked` (beheert IKE en IPsec VPN-functies).
13. De aanvallers hebben PEERSTITCH, een malware-implantaat, ingezet dat binnen FortiGate-processen draait. De injector koppelde zich aan beide processen en creëerde een geheugengebied van 16 kilobyte met lees-, schrijf- en uitvoerrechten. De payload werd in dit geheugengebied geplaatst en de uitvoeringspaden in de daemons werden gewijzigd.
14. PEERSTITCH gebruikte vervolgens het procesgeheugen om sessietags door te geven tussen `miglogd` en `iked`. Wanneer VPN-verkeer specifieke markers matcheerde, kon het implantaat een alternatief code-pad nemen dat de normale FortiOS-beveiligingscontroles omzeilde. Dit ontwerp maakt het implantaat moeilijk te detecteren met reguliere controles, omdat het geen persistente malware-binair op schijf achterlaat, geen luisterende poort opent en geen eigen uitgaande verbinding maakt. In plaats daarvan verbergt het zijn activiteiten binnen legitieme systeemprocessen en hun bestaande verkeer.
15. De aanvallers misbruikten de `mod_md` module van Apache, die geautomatiseerd certificaatbeheer ondersteunt, om een reverse shell op te zetten. Ze wijzigden de configuratie zodat certificaatvalidatie commando's kon uitvoeren via Node.js en herhaaldelijk contact kon leggen met de infrastructuur van de aanvaller. Dit bood de aanvallers een aparte route voor externe controle naast het op geheugen gebaseerde implantaat.
16. Om onderzoek te bemoeilijken, stopten de aanvallers logging services, ruimden ze crashlogs op, verwijderden ze ongeldige accounts en auto-script objecten, en vervingen ze een kwaadaardig Apache-configuratiebestand door tekst die er onschuldig uitzag. De `lldprx` injector verwijderde ook zijn eigen bestand en stopte het staging-proces voordat het afsloot.
17. De operatie illustreert hoe de compromittering van een centraal beheersysteem andere verbonden apparaten kan blootstellen.
18. Organisaties wordt geadviseerd om de logboeken van FortiManager en FortiGate te controleren op onverwachte apparaatregistraties, onbekende beheerdersaccounts, verdachte VPN-sessies en auto-script-vermeldingen die pad-traversal strings bevatten, zoals `../../`. Firewall-configuraties moeten worden vergeleken met bekende goede back-ups.
19. Inloggegevens, certificaten en vertrouwensmateriaal dat op een gecompromitteerd beheerserver is opgeslagen, moeten als blootgesteld worden beschouwd.
20. Voor specifieke detectie van PEERSTITCH wordt aangeraden om de geheugenkaarten van `miglogd` en `iked` te onderzoeken op anonieme 16-kilobyte regio's met lees-, schrijf- en uitvoerrechten. Onderzoekers moeten ook controleren op geheugenpatches, cross-process schrijfacties naar `/proc/
21. Verdedigingen tegen nieuwe malware moeten zo snel mogelijk worden geüpdatet. TI-feeds moeten worden geïntegreerd met gegevens van 16K SOC's.
Popup content goes here.
Nog geen account? Klik hier om te registreren!
Met een account heeft u de mogelijkheid om het gehele nieuwsoverzicht te bekijken en op ieder artikel een reactie-icoon te geven.
Met Newsfacts.info kunt u op de hoogte blijven van de laatste ontwikkelingen, zonder veel tijd te besteden aan het volgen van het nieuws. Ontdek vandaag nog de voordelen van Newsfacts.info!
Login
-
Gebruikersnaam
-
Wachtwoord