FortiOS Açığı Üzerinden Belleğe Yerleşen PEERSTITCH Zararlısı VPN Denetimlerini Atlatıyor

Palo Alto Networks'ün tehdit istihbaratı birimi Unit 42, Fortinet FortiOS'ta bulunan bir güvenlik açığından yararlanan gelişmiş bir tehdit aktörünün, PEERSTITCH adıyla anılan ve daha önce hiç raporlanmamış bir bellek tabanlı ARM64 zararlısını hedef sistemlere yerleştirdiğini ortaya koydu. Saldırı zinciri; bir telekomünikasyon yönetilen hizmet sağlayıcısına yönelik gerçekleştirilen ve Eylül 2024'te başladığı belirlenen uzun soluklu bir ağ sızma operasyonunun parçası olarak tespit edildi.

İlk Erişimden Derin Sızıntıya: Saldırı Nasıl Başladı?​

CL-STA-0954 ya da UNC5820 olarak takip edilen çok aşamalı saldırı, FortiJump adıyla bilinen kritik Fortinet FortiManager açığının (CVE-2024-47575) istismar edilmesiyle başladı. Saldırganlar, FortiManager cihazına başarıyla sızdıktan sonra çalışan yapılandırmaları, kriptografik materyalleri ve 500'den fazla yönetilen FortiGate güvenlik duvarına ait bilgileri içeren bir arşivi dışarı sızdırdı.
Ele geçirilen veriler son derece kapsamlıydı: FortiManager cihazının seri numarası ve kayıtlı her cihazla olan yönetim ilişkileri, 500'den fazla FortiGate güvenlik duvarına ait çalışan yapılandırma dosyaları, merkezi yönetim SQLite veritabanları, 500'den fazla FortiGate seri numarası ile bunlara karşılık gelen genel IP adreslerini listeleyen envanter kayıtları, iç ağ topoloji haritaları, yönlendirme tabloları, arayüz yapılandırmaları, şifreli yönetici ve SSL/VPN kimlik bilgileri ile genel sertifikalar ve özel anahtarlar dahil kodlanmış kriptografik güven materyalleri bunların başında geliyordu.

PEERSTITCH Nedir ve Nasıl Çalışır?​

Saldırganlar ele geçirdikleri bilgileri ağ keşfi yapmak, uzun vadeli erişim sağlamak, ağ trafiğini izlemek, yetkisiz FortiGate SSL/VPN oturumları açmak ve arka kapılar kurmak için kullandı. Bu süreçte ayrıca CVE-2025-61624 olarak kayıtlı, CVSS puanı 5,4 olan bir yetki yükseltme açığından yararlanarak PEERSTITCH'i devreye soktular. Fortinet, söz konusu açığı Nisan 2026'da yamaladı. Açık; FortiOS, FortiPAM, FortiProxy ve FortiSwitchManager'ın komut satırı yorumlayıcısında bulunan bir yol geçiş (path traversal) zafiyetiydi ve yetkili bir saldırganın mevcut komutlara özel olarak hazırlanmış argümanlar göndererek rastgele dosya yazmasına ya da silmesine olanak tanıyordu.
PEERSTITCH, 64 bit Linux ARM64 mimarisinde C diliyle yazılmış bir çalıştırılabilir dosyadır. Zararlı, diske kalıcı bir ikili dosya bırakmaz, dinleme portu açmaz ve dışa yönelik ağ bağlantısı başlatmaz. Unit 42 araştırmacıları Daniel Gott ve Shawn Westfall'ın aktardığına göre implant, iletişimini yalnızca enfekte ana makinedeki meşru süreçlerin ürettiği trafik aracılığıyla kurar; bu durum zararlıyı geleneksel uç nokta ve ağ tespitine karşı dirençli kılar.
Zararlının yerleştirilme süreci birkaç aşamadan oluşur. İlk aşamada bir oto-betik, harici bir sunucudan (23.240.77[.]233:8085) beş bileşen indirir: ortam hazırlık betiği pM.js (kendini silen), Emscripten JavaScript çalışma zamanı modülü a.js (index.js olarak kaydedilir), derlenmiş WebAssembly ikili modülü a.wasm (index.wasm olarak kaydedilir), dağıtım orkestratör betiği b.js (ipssem.js olarak kaydedilir) ve PEERSTITCH çekirdeği olan yerel ARM64 ELF ikili enjektörü dd (lldprx olarak kaydedilir).

FortiOS Süreçlerine Enjeksiyon ve VPN Atlatma Mekanizması​

Saldırının ana aşaması bir yürütme gecikmesinin ardından başlar. Orkestratör ipssem.js, lldprx'i başlatır; bu bileşen iki temel FortiOS daemonunu — /bin/miglogd ve /bin/iked — hedef alan bir süreç belleği yama enjektörü olarak işlev görür. Enjektör; çalışan süreçleri bulur, bellek düzenlerini numaralandırır, ptrace ile bu süreçlere bağlanarak PTRACE_INTERRUPT aracılığıyla yürütmelerini durdurur, yürütülebilir bellek ayırır ve kötü amaçlı kodu bu belleğe yazar, ardından yürütmeyi enjekte edilen kod üzerinden yönlendirir.
Bu kanca adımının nihai amacı, iki meşru FortiOS süreci arasında geleneksel bir ağ bağlantısı ya da dosya kullanmak yerine gizli, bellek tabanlı bir iletişim köprüsü oluşturmak ve tespiti atlatmak için bu süreçleri örtü olarak kullanmaktır. miglogd kancası, ilettiği veride iki belirli işareti tanıyacak şekilde donatılmıştır: TCP port işareti 8550 (trafik verisine gömülü, dinleme portu değil) ve IP adresi işareti 169.254.0.1 (örüntü eşleştirme için kullanılan bağlantı-yerel tanımlayıcı). Bu örüntü tanındığında ilgili oturum belirteci iked daemonuna iletilir; iked'in kancası ise sonraki VPN oturumlarını işlerken bu tanımlayıcıyı arar. Söz konusu etiket bir VPN oturumunun enjeksiyon tamponunda mevcutsa alternatif bir yürütme yoluna girerek FortiOS'un varsayılan güvenlik doğrulamalarını atlar.

Ek C2 Kanalı ve Saldırganların Teknik Yetkinliği​

PEERSTITCH'in yanı sıra saldırganlar, FortiGate güvenlik duvarlarındaki yerel Apache mod_md modülünü kullanarak SSH tabanlı bir ters kabuk (reverse shell) oluşturmak suretiyle ayrı bir komuta ve kontrol (C2) kanalı kurdu. Araştırmacılar ayrıca saldırganların, hedeflenen ağdaki diğer ana makinelerin yönetilen güvenlik duvarlarından veri çekmek amacıyla FortiManager platformunu taklit ettiğini de aktardı.
Unit 42, saldırganların Fortinet cihaz mimarisine, FortiOS iç yapısına ve FortiOS yönetim protokollerine hâkimiyetini kanıtladığını vurguladı. Saldırıya CVE-2024-26009 ve CVE-2024-26008 numaralı açıkların da dahil edilmiş olabileceği değerlendirilmekle birlikte bu açıkların istismarı, cihazın FortiGate Cloud/FortiCloud SSO'ya kayıtlı olmasını gerektiriyor; etkilenen güvenlik duvarlarının hiçbirinin bu kayıt durumunda olmadığı belirlendi.
Saldırganlar ayrıca adli iz bırakmamak için kapsamlı önlemler aldı: syslog üretimini sonlandırdı, kilitlenme günlüklerini temizledi, günlük telemetrisini bozdu ve sahte yönetici hesaplarıyla oto-betik nesnelerini yürütme sonrasında otomatik olarak sildi. Unit 42, bu saldırının merkezi uç yönetim ekosistemlerinin silah olarak kullanılması yoluyla alt ağların tehlikeye atılması şeklinde büyüyen bir tehdidi gözler önüne serdiğini belirtti.

Sıkça Sorulan Sorular​

PEERSTITCH zararlısı nasıl tespit edilmekten kaçınıyor?​

PEERSTITCH diske kalıcı bir ikili dosya bırakmaz, dinleme portu açmaz ve dışa yönelik ağ bağlantısı başlatmaz. İletişimini yalnızca enfekte sistemdeki meşru FortiOS süreçlerinin ürettiği trafik üzerinden yürütür; bu özellik zararlıyı geleneksel uç nokta ve ağ tabanlı tespit yöntemlerine karşı dirençli kılar.

Saldırganlar FortiManager'a ilk erişimi nasıl sağladı?​

İlk erişim, FortiJump adıyla bilinen kritik Fortinet FortiManager güvenlik açığı CVE-2024-47575'in istismar edilmesiyle elde edildi. Bu açık, saldırganların cihaza sızmasına ve ardından 500'den fazla yönetilen FortiGate güvenlik duvarına ait yapılandırma, kimlik bilgisi ve kriptografik materyalleri içeren bir arşivi dışarı sızdırmasına olanak tanıdı.

CVE-2025-61624 açığı hangi Fortinet ürünlerini etkiliyor?​

CVE-2025-61624, FortiOS, FortiPAM, FortiProxy ve FortiSwitchManager'ın komut satırı yorumlayıcısında bulunan bir yol geçiş açığıdır. Yetkili bir saldırganın mevcut komutlara özel argümanlar göndererek rastgele dosya yazmasına ya da silmesine imkân tanıyan bu açık, Fortinet tarafından Nisan 2026'da yamalandı.

Saldırganlar ele geçirdikleri verilerle ne yaptı?​

Çalınan bilgiler; ağ keşfi yapmak, uzun vadeli erişim sağlamak, ağ trafiğini izlemek, yetkisiz FortiGate SSL/VPN oturumları açmak, arka kapılar kurmak ve PEERSTITCH zararlısını dağıtmak amacıyla kullanıldı. Saldırganlar ayrıca FortiManager platformunu taklit ederek hedeflenen ağdaki diğer ana makinelerin yönetilen güvenlik duvarlarından veri çekti.

Saldırganlar adli iz bırakmamak için hangi önlemleri aldı?​

Saldırganlar, syslog üretimini sonlandırdı, kilitlenme günlüklerini temizledi, günlük telemetrisini bozdu ve oto-betik nesneleri ile sahte yönetici hesaplarını yürütme tamamlandıktan sonra otomatik olarak sildi. Bu yöntemler, olası adli soruşturmaları güçleştirmeye yönelik sistematik bir iz temizleme stratejisinin parçasıdır.