- The Hacker News报道称，该漏洞影响FortiOS、FortiPAM、FortiProxy和FortiSwitchManager，CVSS评分为5.4。
- 攻击者利用合法凭据，从外部暂存基础设施建立了未经授权的FortiGate SSL/VPN会话。
攻击者利用合法凭据，从已知的外部暂存基础设施向边界防火墙建立了未经授权的FortiGate SSL/VPN会话。
The Hacker News报道称，CVE-2025-61624影响FortiOS、FortiPAM、FortiProxy和FortiSwitchManager，且CVSS评分为5.4。
PEERSTITCH在内存中修补FortiOS进程
PEERSTITCH是一个以C语言编写、静态链接到glibc的64位Linux ARM64可执行文件。其注入器针对FortiOS守护进程/bin/miglogd和/bin/iked。
该恶意软件在这两个守护进程之间创建了隐蔽的驻留内存通信桥，而不是使用网络套接字或磁盘文件。当存在匹配标签时，一个钩子会进入备用返回分支，绕过FortiOS默认的安全验证。
Unit 42表示，PEERSTITCH不会在磁盘上留下持久二进制文件，不会打开监听端口，也不会发起出站网络连接。它通过受感染主机上的合法进程生成的流量进行通信，因此能够抵抗传统的终端和网络检测。
攻击者从FortiManager数据中恢复防火墙凭据
攻击者最初通过利用CVE-2024-47575入侵一台集中式FortiManager设备。他们外泄了运行配置、加密材料和数据库文件，其中包含500多台受管FortiGate防火墙的信息。
Unit 42表示，已通过成功暴力破解外泄配置文件中的管理员和SSL/VPN密码，确认这些凭据可被恢复。
除PEERSTITCH外，攻击者还将FortiGate防火墙上的原生Apache mod_md模块武器化，以建立命令与控制通道。
在来自外部基础设施的FGFM交互之后，名为FortiGateCloud的管理账户从多台受管防火墙下载了完整的运行配置。Unit 42中等置信度评估认为，攻击者通过在FGFM上冒充管理平台发出了这些命令。
Unit 42识别出内存和系统调用指标
Unit 42建议检查/bin/miglogd和/bin/iked的内存映射，查找具有rwxp权限的匿名16,384字节区域。
Unit 42表示，Palo Alto Networks已与网络威胁联盟成员分享了这些发现。
Unit 42表示，防御者还必须在平台被入侵的那一刻，将这些接口所持有的凭据和证书视为已泄露。
防守方现在要做什么
- 当管理平台被入侵时，即将其持有的凭据和证书视为已泄露。
常见问题
FortiGate CVE-2025-61624入侵发生了什么？
Unit 42表示，攻击者利用CVE-2025-61624，将权限从FortiOS管理员访问权限提升至底层防火墙操作系统上的root权限，并部署了PEERSTITCH。
哪些产品受到CVE-2025-61624影响？
The Hacker News报道称，该漏洞影响FortiOS、FortiPAM、FortiProxy和FortiSwitchManager，CVSS评分为5.4。
什么是PEERSTITCH？
Unit 42将PEERSTITCH描述为一种驻留内存的ARM64恶意软件，可在FortiOS守护进程/bin/miglogd和/bin/iked之间创建隐蔽通信桥。
攻击者如何进入FortiGate防火墙？
他们入侵了一台集中式FortiManager设备，外泄配置和加密材料。Unit 42确认可从配置文件中恢复管理员和SSL/VPN凭据，攻击者并利用合法凭据建立了未经授权的SSL/VPN会话。
Unit 42建议采取哪些检测步骤？
Unit 42建议检查/bin/miglogd和/bin/iked的内存映射，查找具有rwxp权限的匿名16,384字节区域，并审计内核系统调用遥测数据，检查两个进程之间针对/proc/ /mem的open()和write()操作。
来源
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| Unit 42调查了一起针对某电信组织的多阶段网络入侵，该事件发生于2024年9月。 | Unit 42 | 已证实 |
| 攻击者最初通过利用CVE-2024-47575入侵一台集中式FortiManager设备。 | Unit 42 | 已证实 |
| 攻击者外泄了配置、加密材料和数据库，其中包含500多台受管FortiGate防火墙的信息。 | Unit 42 | 已证实 |
| 攻击者利用合法凭据，从外部暂存基础设施建立了未经授权的FortiGate SSL/VPN会话。 | Unit 42 | 已证实 |
| 攻击者利用CVE-2025-61624，将权限从FortiOS管理员访问权限提升至底层防火墙操作系统上的root权限。 | Unit 42 | 已证实 |
| 该漏洞利用促成了PEERSTITCH这一新型驻留内存ARM64恶意软件的部署。 | Unit 42 | 已证实 |
| The Hacker News报道称，CVE-2025-61624的CVSS评分为5.4，影响FortiOS、FortiPAM、FortiProxy和FortiSwitchManager。 | The Hacker News | 引述 |
| Fortinet的公告称，该路径遍历漏洞可能允许具有特权的攻击者通过向现有命令提供精心构造的参数，任意写入或删除文件。 | Fortinet | 已证实 |
| PEERSTITCH不会在磁盘上留下持久二进制文件，不会打开监听端口，也不会发起出站网络连接。 | Unit 42 | 已证实 |
| PEERSTITCH通过合法进程生成的流量进行通信，因此能够抵抗传统的终端和网络检测。 | Unit 42 | 已证实 |
| PEERSTITCH是一个以C语言编写、静态链接到glibc的64位Linux ARM64可执行文件。 | Unit 42 | 已证实 |
| 该注入器针对FortiOS守护进程/bin/miglogd和/bin/iked。 | Unit 42 | 已证实 |
| 攻击者将5个PEERSTITCH文件从23.240.77[.]233:8085下载到/data2/template/。 | Unit 42 | 已证实 |
| PEERSTITCH在/bin/miglogd和/bin/iked之间创建隐蔽的驻留内存通信桥，而不是使用网络套接字或磁盘文件。 | Unit 42 | 已证实 |
| 当存在匹配标签时，/bin/iked钩子会进入备用返回分支，绕过FortiOS默认的安全验证。 | Unit 42 | 已证实 |
| Unit 42中等置信度评估认为，攻击者通过在FGFM上冒充管理平台发出了这些命令。 | Unit 42 | 已证实 |
| Unit 42建议检查/bin/miglogd和/bin/iked的内存映射，查找具有rwxp权限的匿名16,384字节区域。 | Unit 42 | 已证实 |
| unit42.paloaltonetworks.com于2026年10月14日发布了其报告。 | unit42.paloaltonetworks.com | 已证实 |
未能核实
- 尚未确定CVE-2025-61624是否在此次入侵之外被利用
- 尚未确定有多少台FortiGate防火墙被感染
- 尚未确定疑似高级威胁行为者的身份
- 尚未确定是否使用了CVE-2024-26008或CVE-2024-26009
