Новий імплант під назвою PEERSTITCH нагадує, що пристрої, які захищають мережу, самі можуть стати схованкою для зловмисників. Згідно з повідомленнями про виявлення, PEERSTITCH — це резидентний в оперативній пам'яті імплант для ARM64, який було розгорнуто проти міжмережевих екранів FortiGate під час тривалого вторгнення до телекомунікаційного постачальника керованих послуг (MSP). Цей випадок показує, чому шкідливе ПЗ PEERSTITCH, що живе в пам'яті FortiGate, є приводом для занепокоєння для всіх, хто використовує міжмережевий екран або маршрутизатор — від великих провайдерів до невеликих офісів.

Публічні подробиці обмежені, тому ця стаття тримається того, про що було повідомлено, і уникає здогадок щодо решти.

Що робив PEERSTITCH у мережі телеком-провайдера

Основні факти короткі. PEERSTITCH використовували проти міжмережевих екранів FortiGate, і він працював як резидентний в оперативній пам'яті імплант, створений для процесорів ARM64. Ця активність була частиною тривалого вторгнення до телекомунікаційного постачальника керованих послуг.

Тут важливі дві деталі. По-перше, ціллю був постачальник керованих послуг. MSP керують інфраструктурою від імені інших організацій, тож закріплення в одному з них може бути цінним далеко за межами його власних стін. По-друге, вторгнення було описане як тривале, що вказує на зловмисника, який хотів тихо залишатися на місці, а не вдарити й утекти.

У вихідних матеріалах не уточнюється, як зловмисники спочатку потрапили всередину або що вони робили з отриманим доступом, і ми не будемо будувати здогадів ні щодо одного, ні щодо іншого.

Чому шкідливе ПЗ, що живе в пам'яті міжмережевого екрана, важко виявити

Більшість людей уявляє шкідливе ПЗ як файл, що лежить на диску. Шкідливе ПЗ, резидентне в пам'яті, працює інакше: воно живе в оперативній пам'яті (RAM) пристрою, тож постійно збереженого для сканера може бути мало або й зовсім нічого. Оскільки пам'ять стирається, коли пристрій вимикається, такий імплант також може залишити мало слідів після перезавантаження.

Міжмережеві екрани та інші пристрої на краю мережі ускладнюють це з кількох причин:

  • Це закриті пристрої. На відміну від ноутбука, на міжмережевий екран зазвичай не можна встановити власні інструменти захисту кінцевих точок.
  • Обладнання ARM64 менш знайоме багатьом аналітикам. Інструменти та звички, побудовані навколо настільних і серверних систем, не завжди переносяться сюди.
  • Вони стоять на межі. Пристрої на краю мережі за задумом вважаються довіреними, і їхній трафік часто перевіряють менш ретельно, ніж трафік із робочих станцій.
  • Журнали можуть бути мізерними. Якщо імплант мало що записує на диск, у захисників залишається менше артефактів для подальшого вивчення.

Ця прогалина у виявленні не є унікальною для міжмережевих екранів. Нещодавні матеріали про те, як 49% жертв програм-вимагачів втрачають дані ще до виявлення атаки, показують, як часто захисники дізнаються про компрометацію із запізненням. Непомітні інструменти на пристроях, за якими ніхто уважно не стежить, лише розширюють це вікно. Схожа тема простежується в тому, як msaRAT угруповання Chaos ransomware ховається в Chrome та Edge: зловмисники продовжують обирати місця, які зливаються зі звичайною активністю.

Що це означає для вас

Якщо ви не керуєте телеком-компанією, справедливо запитати, чи стосується це вас. Безпосередньою ціллю в цьому випадку був постачальник керованих послуг, і в повідомленнях немає жодних ознак того, що домашніх користувачів виділяли окремо. Втім, урок застосовний широко.

Власники домашніх і малих бізнес-маршрутизаторів та міжмережевих екранів покладаються на те саме базове припущення: що пристрій на краю мережі заслуговує на довіру. Резидентні в пам'яті імпланти кидають виклик цьому припущенню, бо скомпрометований пристрій може виглядати цілком нормально ззовні. Якщо ви використовуєте міжмережевий екран FortiGate або будь-який міжмережевий екран чи маршрутизатор із функціями віддаленого керування, ваш пристрій є частиною вашої поверхні атаки, а не лише захисним шаром навколо неї.

Це також важливо, якщо ви покладаєтеся на постачальника керованих послуг або інтернет-провайдера. Їхнє обладнання на краю мережі стоїть між вами та інтернетом, тож їхні практики безпеки опосередковано впливають на ваші. Запитати, як ваш провайдер оновлює та моніторить свої мережеві пристрої, — цілком розумне питання.

Практичні кроки: оновлення, відкриті адмін-інтерфейси, перезавантаження та журнали

Жоден із цих кроків не гарантує захисту від такого імпланта, як PEERSTITCH, але кожен із них звужує простір, у якому може діяти зловмисник.

  1. Тримайте прошивку актуальною. Встановлюйте оновлення прошивки від виробника для вашого міжмережевого екрана чи маршрутизатора якомога швидше та підпишіться на повідомлення про безпеку від виробника, щоб вчасно дізнаватися про виправлення.
  2. Закрийте адмін-інтерфейси, відкриті в інтернет. Якщо сторінка керування доступна з публічного інтернету, обмежте її вашою внутрішньою мережею або виділеним шляхом керування. Використовуйте надійні унікальні паролі адміністратора та багатофакторну автентифікацію там, де пристрій це підтримує.
  3. Перезавантажуйте, але не покладайтеся на це. Оскільки код, резидентний у пам'яті, зазвичай не переживає вимкнення живлення, перезавантаження може очистити простий імплант. Однак це не ліки: якщо основна вразливість залишається, зловмисник може просто повернутися. Сприймайте перезавантаження як доповнення до патчингу, а не як його заміну.
  4. Переглядайте та експортуйте журнали. Шукайте незнайомі входи адміністраторів, неочікувані зміни конфігурації та дивні вихідні з'єднання. Надсилання журналів до окремої системи допомагає, оскільки зловмисник, який контролює пристрій, може мати змогу підробити журнали, що зберігаються на ньому.
  5. Замінюйте непідтримуване обладнання. Пристрої, які більше не отримують оновлень безпеки, неможливо виправити, коли з'являються нові проблеми.

Ключові висновки

Шкідливе ПЗ PEERSTITCH, що живе в пам'яті FortiGate, показує, що зловмисники готові витрачати час на пристрої на краю мережі саме тому, що їх важко перевірити. Оновлюйте прошивку вашого міжмережевого екрана та маршрутизатора, вимикайте публічний доступ до адмін-інтерфейсів і зробіть перегляд журналів регулярною звичкою, а не чимось, що ви робите після інциденту.

Міжмережеві екрани є постійною ціллю для витончених акторів. Для паралельного випадку прочитайте, як спонсоровані державою хакери вдарили по міжмережевих екранах Palo Alto через CVE-2026-0300, а потім перевірте, коли востаннє оновлювалися ваші власні пристрої на краю мережі.