原文標題：Unit 42 Uncovers PEERSTITCH, a Stealthy FortiGate Implant

Palo Alto Networks 的 Unit 42 於 10 月 14 日發表 PEERSTITCH 威脅研究，追查一宗 2024 年 9 月發生於電信管理服務業者的多階段入侵。研究團隊將活動追蹤為 CL-STA-0954（亦稱 UNC5820），認為攻擊者最初利用 FortiManager 的 CVE-2024-47575 弱點入侵集中管理設備。

攻擊者從 FortiManager 竊取包含執行中設定、加密資料與資料庫的封存檔，資料涉及超過 500 台受管理的 FortiGate 防火牆，這些設備分別保護服務商與其客戶網路。Unit 42 明確表示，調查涵蓋服務商自身環境，未檢查所有客戶網路，因此不能把設定資料外洩等同於 500 多台設備全部被植入後門。

後續活動包括維持長期存取、攔截網路流量、建立 VPN 連線及部署後門。研究指出，攻擊者還利用 FortiOS 自動化腳本路徑穿越相關的 CVE-2025-61624，將 PEERSTITCH 放入部分目標設備。該程式為 ARM64 架構、以 C 撰寫的 Linux 執行檔，負責修改既有系統行程記憶體。

PEERSTITCH 的特色是沒有持續留存於磁碟的惡意二進位檔、不開啟新的監聽埠，也不自行建立對外網路連線。它透過記憶體注入與既有行程流量通訊，鎖定 FortiOS 的 miglogd 記錄服務與 iked VPN 服務，使傳統依賴檔案或新增連線的偵測方式較難發現。

技術分析列出以多階段腳本、WebAssembly 元件與 ARM64 注入器完成部署的流程，並使用 ptrace 操作行程、配置可執行記憶體、寫入注入程式碼。防禦團隊應依官方修補資訊確認 FortiManager 與 FortiOS 版本，並檢視管理平面存取、憑證與異常行程行為；此研究沒有宣稱所有 Fortinet 設備都受相同攻擊影響。

發生了什麼事

Unit 42 發現攻擊者串接兩項 Fortinet 相關弱點，部署難以靠檔案掃描發現的 PEERSTITCH 植入程式。

為什麼重要

集中管理設備一旦被攻破，可能使大量受管理防火牆的設定與憑證暴露；記憶體型植入程式也增加事件調查難度。

影響哪些人

使用 FortiManager、FortiGate 的企業與電信服務商，以及負責網路設備、資安監控與事件應變的團隊。

已確認與未確認

已確認研究案例涉及逾 500 台設備的設定資料；客戶網路是否遭實際入侵未經調查證實，攻擊者身分亦未由 Unit 42 最終歸屬。