Fortinetの脆弱性を突く新型マルウェア「PEERSTITCH」判明、正規プロセスの改ざんでVPN検証を回避

要点

• 米Palo Alto NetworksのUnit 42が、Fortinet製品を標的とするメモリ常駐型マルウェア「PEERSTITCH」の詳細を公表した。

• 脅威アクターは管理機器から窃取した500台超のFortiGate情報を足がかりに、パストラバーサル脆弱性を悪用して侵入していた。

• マルウェアはディスクへの保存や外部通信を行わず、正規プロセスのメモリに潜伏して検知をすり抜ける。

• 通信内の特定マーカーを検知してプロセス間で連携し、タグ付けされたVPNセッションの検証をバイパスする。

• 米セキュリティ企業Palo Alto Networksの脅威インテリジェンス部門「Unit 42」は2026年10月16日、FortinetのOS「FortiOS」などの脆弱性を突いて配備される未知のメモリ常駐型マルウェア「PEERSTITCH」を確認したと発表した。

• この攻撃は「CL-STA-0954」（別名「UNC5820」）と呼ばれる高度な脅威アクターによるもので、通信分野のMSP（マネージドサービスプロバイダー：ITインフラの運用管理を請け負う事業者）への長期侵入の調査過程で判明したという。

• 攻撃者は正規プロセスのメモリを直接書き換えることで、従来の監視網を回避しながらVPN接続の検証チェックを無効化していたとされる。

500台以上のファイアウォール情報流出が発端

攻撃の発端は、2024年9月に確認された通信事業者向けMSPへの長期的な侵入だった。
攻撃者は集中管理アプライアンス「FortiManager」の重大な脆弱性「FortiJump」（CVE-2024-47575）を突いて組織内へ侵入し、管理下にあった500台超のファイアウォール「FortiGate」に関する設定情報やデータベースを含むアーカイブを持ち出したという。
流出データには、FortiManagerのシリアル番号や管理構成、500台超のFortiGateの稼働コンフィグやパブリックIPアドレス、ネットワーク構成図が含まれていた。さらに、暗号化された管理者やSSL/VPNの認証情報、秘密鍵などの暗号トラスト素材も窃取されていたとされる。
攻撃者はこれらの情報を基に偵察を進め、境界ファイアウォールへの不正なSSL/VPN接続やバックドアの配置を行い、長期的なアクセスを確立した。

権限昇格の脆弱性を突いてPEERSTITCHを展開

長期アクセスを固めた攻撃者は、さらなる権限昇格とマルウェア投入に進んだ。
悪用されたのは、FortiOSやFortiPAMなどのCLI（コマンド入力環境）に存在したパストラバーサル（意図しないファイルパスへのアクセスを許す欠陥）の脆弱性「CVE-2025-61624」（CVSSスコア5.4）である。
特権を持つ攻撃者が既存コマンドに細工した引数を与えることで、任意ファイルの書き込みや削除が可能となる欠陥で、Fortinetは2026年4月に修正パッチを提供している。
攻撃者はこの脆弱性を足がかりに、これまで報告のなかったARM64（ネットワーク機器などで広く使われる64ビットCPU規格）向けマルウェア「PEERSTITCH」を送り込んだという。

5つのモジュールを用いた多段階の展開

C言語で開発されたPEERSTITCHは、外部サーバー（23.240.77[.]233:8085）から自動スクリプトを用いて5つの構成要素をダウンロードする仕組みを備えていた。
内訳は、自己削除型の環境準備スクリプト「pM.js」、WebAssembly（バイナリ形式の高速実行技術）モジュール「a.wasm」とJavaScript実行環境「a.js」、展開制御用の「b.js」、そして本体であるARM64向けインジェクター「dd」（lldprxとして保存）である。
一定の待機時間を経た後、展開スクリプトがインジェクター「lldprx」を起動することで、FortiOSの中核プロセスを標的としたメモリ改ざんが実行される。

ディスクや外部通信を使わないメモリ潜伏

PEERSTITCHの際立った特徴は、ディスク上に永続バイナリを残さず、受信用ポートの開放や自発的な外部通信を一切行わない点にある。
Unit 42の研究者は、感染端末上の正規プロセスが生成するトラフィックを利用して通信するため、従来のエンドポイントやネットワーク検知製品をすり抜けてしまうと指摘している。
インジェクターは、FortiOSの中核デーモン（常駐プログラム）である「miglogd」と「iked」を標的とし、プロセス追跡用のLinuxシステムコール「ptrace」を使って実行を一時停止させる。
続いて実行可能メモリを確保して不正コードを注入し、処理の流れを書き換えた。これにより、2つの正規プロセスの間にメモリ常駐型の隠蔽された通信経路を形成し、検知をすり抜ける隠れ蓑としていたとされる。

特定マーカーの検出とVPN検証の回避

改ざんされた2つのデーモンは、特殊な連携によってセキュリティチェックを無効化する。
まず、ログ処理デーモン「miglogd」のフックが、通過するトラフィックからポート番号「8550」（待機ポートではなくデータ内の目印）とIPアドレス「169.254.0.1」（照合用識別子）という特定マーカーを監視する。
このパターンが検出されると、関連するセッショントークンがVPN処理デーモン「iked」へ引き渡される。
「iked」側のフックは後続のVPNセッション処理時にその識別子を参照し、VPNセッション内に該当タグが存在する場合に別の実行パスへ誘導する。これにより、FortiOSの既定のセキュリティ検証がバイパスされる仕組みになっていたという。