サイバーセキュリティ研究者により、Fortinet製品を標的とする新たなメモリ常駐型マルウェア「PEERSTITCH」の詳細が報告されました。攻撃者はFortiManagerの脆弱性を突いて500台以上のファイアウォール管理情報を窃取したのち、別のパストラバーサル脆弱性を悪用してマルウェアをメモリ上に展開していました。感染機器では正規プロセスが改変され、特定のVPNセッションに対する検証が無効化される危険性が指摘されています。
The Hacker News：PEERSTITCH Malware Deployed via FortiOS Flaw Bypasses Checks on Tagged VPN Sessions
この記事のポイント
影響のあるシステム
- FortiOS、FortiPAM、FortiProxy、FortiSwitchManagerのコマンドラインインタープリター（CVE-2025-61624）
- FortiManager（CVE-2024-47575による侵害対象機器）
- 侵害されたFortiManager配下の管理対象FortiGateファイアウォール（500台以上）
推奨される対策
- CVE-2025-61624の修正パッチ（2026年4月提供）を速やかに適用する
- パッチ適用が困難な環境では、FMWPデータベース更新25.120に含まれるバーチャルパッチ「FG-VD-59270.0day.」を導入する
- 管理アプライアンス（FortiManager）のFMG-Access（TCPポート541）へのアクセス制限および認証設定を確認・更新する
専門用語
PEERSTITCH：ディスク上に永続的な実行ファイルを残さず、新規ポート開放や外部への通信を行わないARM64環境向けのメモリ常駐型マルウェアです。
CVE-2025-61624：FortinetのCLIインタープリターに存在するパストラバーサルの脆弱性で、特権を持つ攻撃者が既存コマンドの引数を細工して任意のファイルを書き込み・削除できます。
CVE-2024-47575：FortiManagerの管理通信ポート（TCP 541）に対して細工されたリクエストを送信することで、未認証で任意コマンドを実行できる脆弱性です。
CL-STA-0954：通信事業者のマネージドサービス環境を標的として多段階の侵入活動を展開した脅威アクターグループ（UNC5820とも呼称）です。
FortiManager侵害を足がかりにした大規模な構成情報窃取
調査機関の報告によると、脅威グループ「CL-STA-0954」（別名UNC5820）は、2024年9月に通信事業者・マネージドサービスプロバイダーのネットワークに対する多段階の侵入を開始しました。攻撃者はまず、集中管理アプライアンスであるFortiManagerの脆弱性「CVE-2024-47575」を悪用しました。この脆弱性は管理通信ポートであるTCPポート541への細工されたリクエストによって、認証を経ずに任意コマンドを実行できる重大な欠陥です。
攻撃者は管理機器内に不正な仮想アプライアンスを登録した後、システム内の構成アーカイブを生成して外部へ流出させました。窃取されたデータには以下の重要情報が含まれていました。
- 500台以上の管理対象FortiGateファイアウォールの完全な稼働コンフィグファイル
- 500台を超える機器のシリアル番号と対応するパブリックIPアドレスの一覧
- 内部ネットワークのトポロジーマップ、ルーティングテーブル、インターフェース構成情報
- 可逆暗号化形式で保存されていた管理者・ローカル・SSL/VPNの認証情報
- 証明書や秘密鍵などの暗号化信頼基盤データ
攻撃者は流出させた認証情報やネットワーク構成情報を活用し、長期間にわたる潜伏、トラフィックの傍受、外周ファイアウォールへの不正なVPNセッション確立などを順次実行していきました。単一の管理アプライアンスの侵害が、配下の膨大な機器群を危険に晒すサプライチェーン攻撃の典型例といえます。
メモリ常駐型マルウェア「PEERSTITCH」とCVE-2025-61624の悪用
窃取した情報をもとに侵入を深めた攻撃者は、FortiOS環境において権限昇格を可能にする脆弱性「CVE-2025-61624」を悪用しました。この脆弱性は、FortiOS、FortiPAM、FortiProxy、FortiSwitchManagerのコマンドラインインタープリターにおけるパストラバーサル（CWE-22）に起因するものです。CVSSスコアは5.4と評価されており、特権を持つ攻撃者が既存コマンドに細工した引数を与えることで、任意ファイルの書き込みや削除を行える状態となっていました。
攻撃者はこの欠陥を利用して、未知のARM64向けマルウェア「PEERSTITCH」をターゲット機器に配備しました。PEERSTITCHはきわめて高度なステルス設計を備えています。ディスク上に永続化バイナリを一切残さず、攻撃用の新規待受ポートを開くこともなく、自身から外部ネットワークへの能動的なアウトバウンド接続を試みることもありません。
感染環境では、スクリプトによって外部サーバーから複数のモジュールが取得され、インジェクターが起動されます。ディスクの痕跡を残さず、検査対象となる怪しいネットワーク挙動を自ら発生させない仕組みによって、従来の一般的なエンドポイント検知や監視の仕組みを回避する構造になっていました。
プロセス改変によるVPN検証バイパスの構造と必要な保護措置
PEERSTITCHの核心的な機能は、FortiOSの中核デーモンである「miglogd」（ログ管理）と「iked」（VPN鍵交換処理）のメモリ領域に対する直接的な書き換えです。インジェクターはptrace機能を用いて実行中のデーモンプロセスにアタッチし、プロセス実行を一時停止させたうえで悪意あるコードを注入します。これにより、両デーモン間に正規の通信路を偽装したメモリ常駐型の秘密通信ブリッジが構築されます。
miglogdのフックは、通過する通信データ内に埋め込まれた特定のマーカー（ポートマーカー8550およびリンクローカルIP 169.254.0.1）を検出します。このマーカーを感知すると識別トークンをikedデーモンのフックへ引き渡します。ikedは該当するタグが付与されたVPN接続を処理する際、通常の処理ルーチンから外れ、FortiOSのデフォルトのセキュリティ検証を完全に迂回して接続を成立させます。
本脆弱性「CVE-2025-61624」に対して、Fortinetは2026年4月に修正パッチを提供しています。また、パッチ適用までの保護手段として、FMWPデータベース更新「25.120」においてバーチャルパッチ「FG-VD-59270.0day.」が公開されています。運用担当者は管理機器および境界ファイアウォールの脆弱性状況を速やかに点検し、最新の修正ファームウェアの適用とアクセス制御の厳格化を実施することが強く推奨されます。
参考文献・記事一覧
- The Hacker News「PEERSTITCH Malware Deployed via FortiOS Flaw Bypasses Checks on Tagged VPN Sessions」
- Fortinet「PSIRT | FortiGuard Labs」
- Palo Alto Networks「Unit 42 Uncovers PEERSTITCH, a Stealthy FortiGate Implant」
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
