PEERSTITCH: FortiGate Güvenlik Açığını Kullanarak 500+ Firewall'a Bulaşan Gizli Malware

Palo Alto Networks'ün siber güvenlik araştırma ekibi Unit 42, FortiManager cihazlarında ciddi bir saldırı kampanyasını tespit etti. Saldırganlar CVE-2024-47575 adlı bir güvenlik açığını kullanarak 500'den fazla firewall'a sızıp PEERSTITCH adında bir bellekte yaşayan kötü amaçlı yazılım yerleştirdiler.

PEERSTITCH, ARM64 mimarisinde çalışan ve gizli bir implant. Bellekte yaşadığı için diske yazılmıyor, bu da geleneksel antivirüs taramaları ve disk tabanlı adli bilişim araştırmalarında kolayca gözden kaçabilir anlamına geliyor. Saldırganlar bu özelliği kasıtlı olarak seçmiş olmalılar çünkü uzun süreli erişim sağlamak ve tespit edilmemek istiyorlardı.

Saldırı zincirinin başında CVE-2024-47575 var; bu açık FortiManager'da uzaktan kod çalıştırmaya izin veriyor. Saldırganlar bu açığı istismar ettikten sonra PEERSTITCH'i yükleyip ağ trafiğini izleme, veri çalma ve diğer zararlı faaliyetleri gerçekleştirme yeteneği kazanıyorlar.

Bu tür kampanyalar, kurumsal ağlara girmek için kritik altyapı cihazlarının (firewall, router, yönetim yazılımları) neden hedef alındığını gösteriyor. FortiGate ve benzeri cihazlar ağın kalbinde olduğu için, buraya yerleşen bir malware tüm trafiği görebilir ve manipüle edebilir. Bellekte yaşayan implantlar da, saldırıyı uzun süre gizli tutmanın en etkili yollarından biri.

Eğer FortiManager kullanıyorsan, CVE-2024-47575 için acilen güvenlik yamasını uygulamalısın. Ayrıca firewall ve yönetim cihazlarının ağ trafiğini, anormal bağlantıları ve sistem davranışını düzenli olarak izlemek kritik. Bellekte yaşayan tehditleri tespit etmek zor olsa da, ağ seviyesinde anormal davranış (beklenmeyen dış bağlantılar, veri sızıntısı desenleri) dikkat çekebilir.