Новый имплант под названием PEERSTITCH напоминает о том, что устройства, защищающие сеть, сами могут становиться укрытием для атакующих. Согласно публикациям об обнаружении, PEERSTITCH — это резидентный в памяти имплант для ARM64, развёрнутый против межсетевых экранов FortiGate в ходе затяжной атаки на телекоммуникационного поставщика управляемых услуг (MSP). Этот случай показывает, почему PEERSTITCH — резидентное в памяти вредоносное ПО для FortiGate — вызывает беспокойство у всех, кто использует межсетевой экран или маршрутизатор, от крупных провайдеров до небольших офисов.

Публичные детали ограничены, поэтому в этом материале мы придерживаемся того, что было опубликовано, и избегаем догадок обо всём остальном.

Что делал PEERSTITCH внутри сети телеком-провайдера

Основные факты кратки. PEERSTITCH использовался против межсетевых экранов FortiGate и работал как резидентный в памяти имплант, созданный для процессоров ARM64. Эта активность была частью затяжной атаки на телекоммуникационного поставщика управляемых услуг.

Здесь важны две детали. Во-первых, целью был поставщик управляемых услуг. MSP эксплуатируют инфраструктуру от имени других организаций, поэтому закрепление в одном из них может быть ценным далеко за пределами его собственных стен. Во-вторых, атака описывается как затяжная, что указывает на злоумышленника, который хотел тихо оставаться на месте, а не быстро всё взломать и украсть.

В исходных материалах не уточняется, как атакующие первоначально проникли в сеть и что они делали с полученным доступом, и мы не будем строить догадки ни о том, ни о другом.

Почему резидентное в памяти вредоносное ПО на межсетевых экранах трудно обнаружить

Большинство людей представляют вредоносное ПО как файл, лежащий на диске. Резидентное в памяти вредоносное ПО работает иначе: оно живёт в оперативной памяти (RAM) устройства, поэтому на диске может храниться мало или вообще ничего, что мог бы найти сканер. Поскольку память стирается при выключении устройства, такой имплант может также оставить мало следов после перезагрузки.

Межсетевые экраны и другие устройства на периметре сети усложняют задачу по нескольким причинам:

  • Это закрытые устройства. В отличие от ноутбука, на межсетевой экран обычно нельзя установить собственные средства защиты конечных точек.
  • Аппаратное обеспечение ARM64 менее знакомо многим аналитикам. Инструменты и привычки, сложившиеся вокруг настольных и серверных систем, не всегда переносятся сюда.
  • Они находятся на границе. Периметровые устройства доверенные по своей конструкции, и их трафик часто проверяется менее тщательно, чем трафик с рабочих станций.
  • Журналы могут быть скудными. Если имплант мало пишет на диск, у защитников остаётся меньше артефактов для последующего изучения.

Этот пробел в обнаружении не уникален для межсетевых экранов. Недавний материал о том, как 49% жертв программ-вымогателей теряют данные до обнаружения атаки, показывает, как часто защитники узнают о компрометации поздно. Скрытые инструменты на устройствах, за которыми никто внимательно не следит, лишь расширяют это окно. Похожая тема прослеживается в том, как msaRAT группы Chaos ransomware скрывается в Chrome и Edge: атакующие продолжают выбирать места, которые сливаются с нормальной активностью.

Что это значит для вас

Если вы не управляете телеком-компанией, справедливо спросить, касается ли это вас. В данном случае прямой целью был поставщик управляемых услуг, и в публикациях нет указаний на то, что домашние пользователи выделялись особо. Тем не менее урок применим широко.

Владельцы домашних и малых офисных маршрутизаторов и межсетевых экранов полагаются на одно и то же базовое допущение: устройство на границе сети заслуживает доверия. Резидентные в памяти импланты бросают вызов этому допущению, потому что скомпрометированное устройство может выглядеть абсолютно нормально снаружи. Если вы используете межсетевой экран FortiGate или любой другой межсетевой экран либо маршрутизатор с функциями удалённого управления, ваше устройство является частью вашей поверхности атаки, а не просто защитным слоем вокруг неё.

Это также важно, если вы依赖 на поставщика управляемых услуг или интернет-провайдера. Их пограничное оборудование находится между вами и интернетом, поэтому их практики безопасности косвенно влияют на ваши. Спросить, как ваш провайдер обновляет и мониторит свои сетевые устройства, — разумный вопрос.

Практические шаги: обновления, открытые интерфейсы администрирования, перезагрузки и журналы

Ни один из этих шагов не гарантирует защиту от такого импланта, как PEERSTITCH, но каждый из них сокращает пространство для манёвра атакующего.

  1. Поддерживайте актуальность прошивки. Устанавливайте обновления прошивки от производителя для вашего межсетевого экрана или маршрутизатора как можно скорее и подпишитесь на уведомления о безопасности вашего производителя, чтобы своевременно узнавать об исправлениях.
  2. Закройте интерфейсы администрирования, доступные из интернета. Если страница управления доступна из публичного интернета, ограничьте доступ к ней вашей внутренней сетью или выделенным каналом управления. Используйте надёжные уникальные пароли администратора и многофакторную аутентификацию там, где устройство её поддерживает.
  3. Перезагружайте, но не полагайтесь на это. Поскольку резидентный в памяти код обычно не выживает при отключении питания, перезагрузка может очистить простой имплант. Однако это не лекарство: если основная уязвимость остаётся, атакующий может просто вернуться. Рассматривайте перезагрузку как дополнение к установке исправлений, а не как замену.
  4. Просматривайте и экспортируйте журналы. Ищите незнакомые входы администратора, неожиданные изменения конфигурации и странные исходящие соединения. Отправка журналов в отдельную систему помогает, поскольку атакующий, контролирующий устройство, может иметь возможность подделать журналы, хранящиеся на нём.
  5. Заменяйте неподдерживаемое оборудование. Устройства, которые больше не получают обновления безопасности, невозможно исправить, когда появляются новые проблемы.

Ключевые выводы

PEERSTITCH — резидентное в памяти вредоносное ПО для FortiGate — показывает, что атакующие готовы вкладывать время в устройства на периметре сети именно потому, что их трудно инспектировать. Обновляйте прошивку вашего межсетевого экрана и маршрутизатора, отключайте публичный доступ к интерфейсам администрирования и сделайте просмотр журналов регулярной привычкой, а не чем-то, что вы делаете после инцидента.

Межсетевые экраны — повторяющаяся цель для изощрённых злоумышленников. Для параллельного случая прочитайте, как спонсируемые государством хакеры атаковали межсетевые экраны Palo Alto через CVE-2026-0300, а затем проверьте, когда в последний раз обновлялись ваши собственные периметровые устройства.