国家の支援を受けているとみられる攻撃者が、通信事業者を狙った攻撃で複数のFortinet製品の脆弱性を悪用していたことが、Palo Alto Networksの報告で明らかになりました。
この侵入はUNC5820（Palo Alto NetworksではCL-STA-0954として追跡）によるもので、2024年9月に発生し、被害組織の環境に長期間アクセスされる結果となりました。
最初の侵入経路は、FortiManagerの重大なリモートコード実行（RCE）の脆弱性「CVE-2024-47575」の悪用でした。この脆弱性は、ゼロデイとして2024年10月にパッチが公開されています。
パッチ公開の直後、Mandiantは、UNC5820が少なくとも2024年6月から、FortiJumpと名付けられたこの脆弱性を悪用していたと警告しました。
Palo Alto Networksの最新のレポートによると、UNC5820は同じ侵入の中で、Fortinetの複数製品に影響するパストラバーサルの脆弱性「CVE-2025-61624」も悪用していました。
この脆弱性はFortiOS、FortiPAM、FortiProxy、FortiSwitchManagerに影響し、2026年4月にパッチが公開されました。認証済みの攻撃者が任意のファイルを書き込んだり削除したりできる恐れがあります。Fortinetは公表時点で、この脆弱性がゼロデイとして悪用されていると指摘していました。
米サイバーセキュリティ機関のCISAは金曜日、CVE-2025-61624を「悪用が確認された脆弱性カタログ（KEV）」に追加し、連邦機関に直ちにパッチを適用するよう求めました。
UNC5820はこのパストラバーサルの脆弱性をゼロデイとして悪用し、PeerStitchと名付けられた、これまで知られていなかったFortiGate向けインプラントを展開したとみられます。
ARM64向けのこのマルウェアはメモリ上に常駐します。待ち受けポートを開いたり、外部へのネットワーク接続を開始したりすることはなく、アプライアンス上の正規プロセスが生成するトラフィックを通じて通信します。
確認された攻撃では、UNC5820はまずFortiJumpを悪用して中央のFortiManagerインスタンスにアクセスしました。次に不正な仮想FortiGateアプライアンスを登録し、FortiManager、管理下にある500台超のFortiGateファイアウォール、被害組織のネットワークに関する情報を含む設定アーカイブを外部へ持ち出しました。
続いてUNC5820はCVE-2025-61624を悪用し、基盤となるファイアウォールOSのroot権限を取得しました。そして、PeerStitchの展開を開始するスクリプトを設置しています。
C言語で書かれたこのインプラントは、「ワンショットのプロセスメモリパッチ適用インジェクター」として動作します。標的は、FortiOSの中央システム兼トラフィックロギング用のデーモンと、IKE/IPsec VPNサービスのデーモンです。両者の間にメモリ上に常駐する秘匿的な通信ブリッジを構築し、FortiOSの既定のセキュリティ検証を回避します。
攻撃者はこのほか、FortiGateとFortiManager間（FGFM）の通信でFortiManagerになりすまし、外部のインフラからコマンドを発行していたことも確認されています。また、「フォレンジックの痕跡を消すために徹底した対策を講じていた」といいます。
Palo Alto Networksによると、UNC5820は、CVE-2024-26008を悪用して正規のFortiManagerのセッションを終了させるか、持ち出した秘密情報を再利用して正規のFortiManagerとして認証を受けることで、管理者としての身元を主張していました。
Palo Alto Networksは次のように指摘しています。「PeerStitchインプラントの発見は、エッジデバイスを狙うマルウェアの技術的な成熟が進んでいることを示している。攻撃者はワンショットのインジェクターとして動作し、ディスク上に永続的な痕跡を残さず、プロセスメモリ内にプロセス間の秘匿通信ブリッジを構築した。これにより、従来の監視を回避しながら持続的な侵入を維持した」
