UNC5820利用Fortinet漏洞植入PeerStitch

资讯专家

Palo Alto Networks报告称，疑似国家支持的威胁组织UNC5820（其编号为CL-STA-0954）在2024年9月针对一家电信组织发动攻击，并取得对受害者环境的长期访问权限。

初始访问来自FortiManager关键远程代码执行漏洞CVE-2024-47575（FortiJump）。该漏洞在2024年10月作为零日漏洞完成修补。Mandiant此前警告，UNC5820至少从2024年6月起就在利用该漏洞。

同一入侵活动中，UNC5820还利用了CVE-2025-61624。这是一个路径穿越漏洞，影响FortiOS、FortiPAM、FortiProxy和FortiSwitchManager，已于2026年4月修补；认证攻击者可利用它写入或删除任意文件。Fortinet在披露时将该漏洞的利用标记为零日。CISA已将CVE-2025-61624加入已知被利用漏洞（KEV）列表，并敦促联邦机构立即修补。

Palo Alto Networks称，UNC5820疑似将CVE-2025-61624作为零日利用，部署了此前未知的FortiGate植入体PeerStitch。该恶意软件为ARM64架构，驻留在内存中，不开放监听端口，也不主动发起出站网络连接，而是通过设备上合法进程产生的流量进行通信。

攻击链方面，UNC5820利用FortiJump访问中心FortiManager实例，注册恶意Virtual FortiGate设备，并窃取配置归档。该归档包含FortiManager、500多台受管FortiGate防火墙以及受害者网络的详细信息。随后，攻击者利用CVE-2025-61624取得底层防火墙操作系统的root权限，投放脚本以启动PeerStitch部署。

PeerStitch以C语言编写，充当“一次性进程内存补丁注入器”，目标包括中心系统、流量日志以及FortiOS中的IKE/IPsec VPN服务守护进程。它在这些进程之间建立隐蔽的内存驻留通信桥，并绕过FortiOS默认安全校验。

攻击者还曾在FortiGate到FortiManager（FGFM）通信中冒充FortiManager，从外部基础设施下发命令，并采取大量措施消除取证痕迹。UNC5820通过利用CVE-2024-26008终止真实FortiManager的会话，或复用窃取的秘密以合法FortiManager身份进行认证，从而断言管理身份。

Palo Alto Networks指出，PeerStitch的发现说明边缘设备恶意软件的技术成熟度正在提高。攻击者通过一次性注入、避免持久化磁盘痕迹，并在进程内存内建立隐蔽的进程间通信桥，实现了持续驻留，同时规避传统监控。