Implan baru bernama PEERSTITCH menjadi pengingat bahwa perangkat yang menjaga jaringan dapat menjadi tempat persembunyian bagi penyerang. Menurut laporan atas penemuan tersebut, PEERSTITCH adalah implan ARM64 yang resident di memori yang digunakan terhadap firewall FortiGate selama intrusi berkepanjangan ke sebuah penyedia layanan terkelola (MSP) telekomunikasi. Kasus ini menunjukkan mengapa malware memory-resident PEERSTITCH FortiGate menjadi kekhawatiran bagi siapa pun yang menjalankan firewall atau router, dari penyedia besar hingga kantor kecil.
Detail publiknya terbatas, jadi artikel ini hanya berpegang pada apa yang telah dilaporkan dan menghindari spekulasi terhadap sisanya.
Apa yang Dilakukan PEERSTITCH di Dalam Jaringan Penyedia Telekomunikasi
Fakta intinya singkat. PEERSTITCH digunakan terhadap firewall FortiGate, dan berjalan sebagai implan memory-resident yang dibangun untuk prosesor ARM64. Aktivitas tersebut merupakan bagian dari intrusi berkepanjangan ke sebuah penyedia layanan terkelola telekomunikasi.
Dua detail penting di sini. Pertama, targetnya adalah penyedia layanan terkelola. MSP menjalankan infrastruktur atas nama organisasi lain, sehingga pijakan di salah satunya bisa sangat berharga jauh melampaui dindingnya sendiri. Kedua, intrusi tersebut digambarkan sebagai berkepanjangan, yang menunjukkan penyerang yang ingin tetap diam di tempatnya alih-alih menyerang dan langsung pergi.
Sumber materi tidak menjelaskan bagaimana penyerang pertama kali masuk atau apa yang mereka lakukan dengan akses tersebut, dan kami tidak akan berspekulasi tentang keduanya.
Mengapa Malware Memory-Resident pada Firewall Sulit Dideteksi
Sebagian besar orang membayangkan malware sebagai file yang tersimpan di disk. Malware memory-resident bekerja secara berbeda: ia hidup di memori perangkat yang sedang berjalan (RAM), sehingga mungkin hanya sedikit atau tidak ada sama sekali yang tersimpan secara permanen untuk ditemukan oleh pemindai. Karena memori dihapus saat perangkat dimatikan, implan semacam ini juga bisa meninggalkan sedikit jejak setelah restart.
Firewall dan perangkat tepi jaringan lainnya membuat hal ini lebih sulit karena beberapa alasan:
- Mereka adalah perangkat tertutup. Berbeda dengan laptop, Anda biasanya tidak dapat memasang alat keamanan endpoint Anda sendiri pada firewall.
- Perangkat keras ARM64 kurang familiar bagi banyak analis. Perkakas dan kebiasaan yang dibangun untuk sistem desktop dan server tidak selalu dapat diterapkan.
- Mereka berada di batas jaringan. Perangkat tepi dipercaya secara desain, dan lalu lintasnya sering kurang diperiksa dibandingkan lalu lintas dari workstation.
- Log mungkin minim. Jika implan tidak banyak menulis ke disk, defender memiliki lebih sedikit artefak untuk diperiksa setelahnya.
Celah deteksi ini tidak unik untuk firewall. Liputan terkini tentang bagaimana 49% korban ransomware kehilangan data sebelum mendeteksi serangan menunjukkan betapa seringnya defender mengetahui tentang kompromi terlambat. Perkakas stealthy pada perangkat yang tidak diawasi ketat hanya memperlebar jendela tersebut. Tema serupa muncul dalam bagaimana msaRAT milik kelompok ransomware Chaos bersembunyi di Chrome dan Edge: penyerang terus memilih tempat yang menyatu dengan aktivitas normal.
Apa Artinya Bagi Anda
Jika Anda tidak menjalankan telekomunikasi, wajar untuk bertanya apakah ini memengaruhi Anda. Penargetan langsung dalam kasus ini adalah penyedia layanan terkelola, dan tidak ada indikasi dalam laporan bahwa pengguna rumahan menjadi sasaran khusus. Namun, pelajarannya berlaku secara luas.
Pemilik router dan firewall rumahan dan usaha kecil mengandalkan asumsi dasar yang sama: bahwa perangkat di tepi jaringan dapat dipercaya. Implan memory-resident menantang asumsi tersebut, karena perangkat yang terkompromi dapat terlihat sepenuhnya normal dari luar. Jika Anda menggunakan firewall FortiGate, atau firewall atau router apa pun dengan fitur manajemen jarak jauh, perangkat Anda adalah bagian dari permukaan serangan Anda, bukan sekadar lapisan pelindung di sekitarnya.
Hal ini juga penting jika Anda mengandalkan penyedia layanan terkelola atau ISP. Peralatan tepi mereka berada di antara Anda dan internet, sehingga praktik keamanan mereka secara tidak langsung memengaruhi keamanan Anda. Menanyakan bagaimana penyedia Anda menambal dan memantau perangkat jaringannya adalah pertanyaan yang wajar.
Langkah Praktis: Pembaruan, Antarmuka Admin yang Terpapar, Reboot, dan Log
Tidak ada dari langkah-langkah ini yang menjamin perlindungan terhadap implan seperti PEERSTITCH, tetapi masing-masing mempersempit ruang gerak penyerang.
- Jaga firmware tetap terkini. Pasang pembaruan firmware vendor untuk firewall atau router Anda sesegera mungkin, dan berlangganan advisory keamanan vendor Anda agar Anda mengetahui perbaikannya dengan cepat.
- Tutup antarmuka admin yang menghadap internet. Jika halaman manajemen dapat diakses dari internet publik, batasi ke jaringan internal Anda atau jalur manajemen khusus. Gunakan kata sandi admin yang kuat dan unik serta autentikasi multifaktor di mana perangkat mendukungnya.
- Reboot, tetapi jangan mengandalkannya. Karena kode memory-resident biasanya tidak bertahan setelah siklus daya, restart dapat membersihkan implan sederhana. Namun itu bukan obat: jika kelemahan yang mendasarinya tetap ada, penyerang dapat kembali dengan mudah. Perlakukan reboot sebagai pelengkap penambalan, bukan penggantinya.
- Tinjau dan ekspor log. Cari login admin yang tidak dikenal, perubahan konfigurasi yang tidak terduga, dan koneksi keluar yang aneh. Mengirim log ke sistem terpisah membantu, karena penyerang yang mengendalikan perangkat mungkin dapat merusak log yang tersimpan di dalamnya.
- Ganti perangkat keras yang tidak lagi didukung. Perangkat yang tidak lagi menerima pembaruan keamanan tidak dapat diperbaiki ketika masalah baru muncul.
Poin Penting
Malware memory-resident PEERSTITCH FortiGate menunjukkan bahwa penyerang bersedia menginvestasikan waktu pada perangkat tepi jaringan justru karena perangkat tersebut sulit diperiksa. Tambal firmware firewall dan router Anda, matikan akses publik ke antarmuka admin, dan jadikan peninjauan log sebagai kebiasaan rutin alih-alih sesuatu yang Anda lakukan setelah insiden.
Firewall adalah target berulang bagi aktor canggih. Untuk kasus serupa, baca bagaimana peretas yang disponsori negara menyerang firewall Palo Alto melalui CVE-2026-0300, lalu periksa kapan perangkat tepi Anda sendiri terakhir diperbarui.
