Một mối đe dọa mới có tên PEERSTITCH là lời nhắc nhở rằng chính các thiết bị bảo vệ mạng cũng có thể trở thành nơi ẩn náu cho kẻ tấn công. Theo các báo cáo về phát hiện này, PEERSTITCH là một implant ARM64 thường trú trong bộ nhớ, được triển khai nhắm vào các tường lửa FortiGate trong một cuộc xâm nhập kéo dài vào một nhà cung cấp dịch vụ quản lý (MSP) viễn thông. Vụ việc cho thấy tại sao phần mềm độc hại thường trú trong bộ nhớ PEERSTITCH trên FortiGate là mối lo ngại đối với bất kỳ ai vận hành tường lửa hoặc router, từ các nhà cung cấp lớn đến các văn phòng nhỏ.

Các chi tiết công khai còn hạn chế, vì vậy bài viết này chỉ bám sát những gì đã được báo cáo và tránh suy đoán về phần còn lại.

PEERSTITCH Đã Làm Gì Bên Trong Mạng Của Nhà Cung Cấp Viễn Thông

Các sự kiện cốt lõi rất ngắn gọn. PEERSTITCH được sử dụng nhắm vào các tường lửa FortiGate, và nó hoạt động như một implant thường trú trong bộ nhớ được xây dựng cho bộ xử lý ARM64. Hoạt động này là một phần của cuộc xâm nhập kéo dài vào một nhà cung cấp dịch vụ quản lý viễn thông.

Hai chi tiết quan trọng ở đây. Thứ nhất, mục tiêu là một nhà cung cấp dịch vụ quản lý. Các MSP vận hành hạ tầng thay mặt cho các tổ chức khác, vì vậy một chỗ đứng trong một MSP có thể có giá trị vượt xa bức tường của chính nó. Thứ hai, cuộc xâm nhập được mô tả là kéo dài, điều này cho thấy kẻ tấn công muốn ở lại yên lặng tại chỗ thay vì đánh nhanh rồi rút.

Tài liệu nguồn không nêu rõ cách kẻ tấn công xâm nhập ban đầu hoặc những gì chúng làm với quyền truy cập, và chúng tôi sẽ không suy đoán về cả hai điều đó.

Tại Sao Phần Mềm Độc Hại Thường Trú Trong Bộ Nhớ Trên Tường Lửa Khó Phát Hiện

Hầu hết mọi người hình dung phần mềm độc hại như một tệp nằm trên đĩa. Phần mềm độc hại thường trú trong bộ nhớ hoạt động khác: nó sống trong bộ nhớ đang chạy (RAM) của thiết bị, vì vậy có thể có rất ít hoặc không có gì được lưu trữ vĩnh viễn để trình quét tìm thấy. Vì bộ nhớ bị xóa khi thiết bị tắt nguồn, loại implant này cũng có thể để lại ít dấu vết sau khi khởi động lại.

Tường lửa và các thiết bị biên mạng khác khiến việc này khó hơn vì một số lý do:

  • Chúng là các thiết bị đóng kín. Không giống như laptop, bạn thường không thể cài đặt công cụ bảo mật endpoint của riêng mình trên tường lửa.
  • Phần cứng ARM64 ít quen thuộc hơn với nhiều nhà phân tích. Các công cụ và thói quen được xây dựng xung quanh hệ thống máy tính để bàn và máy chủ không phải lúc nào cũng áp dụng được.
  • Chúng nằm ở ranh giới. Các thiết bị biên được tin cậy theo thiết kế, và lưu lượng của chúng thường ít được kiểm tra hơn so với lưu lượng từ máy trạm.
  • Nhật ký có thể thưa thớt. Nếu một implant không ghi nhiều vào đĩa, người phòng thủ có ít dấu vết hơn để kiểm tra sau đó.

Khoảng trống phát hiện này không chỉ riêng tường lửa. Các đưa tin gần đây về việc 49% nạn nhân ransomware mất dữ liệu trước khi phát hiện cuộc tấn công cho thấy người phòng thủ thường biết về một cuộc xâm nhập muộn đến mức nào. Các công cụ tàng hình trên các thiết bị mà không ai giám sát chặt chẽ chỉ mở rộng thêm khoảng thời gian đó. Một chủ đề tương tự cũng xuất hiện trong cách msaRAT của nhóm ransomware Chaos ẩn trong Chrome và Edge: kẻ tấn công liên tục chọn những nơi hòa lẫn vào hoạt động bình thường.

Điều Này Có Ý Nghĩa Gì Với Bạn

Nếu bạn không vận hành một công ty viễn thông, thật hợp lý khi hỏi liệu điều này có ảnh hưởng đến bạn không. Mục tiêu trực tiếp trong trường hợp này là một nhà cung cấp dịch vụ quản lý, và không có dấu hiệu nào trong báo cáo cho thấy người dùng gia đình bị nhắm riêng. Tuy nhiên, bài học vẫn áp dụng rộng rãi.

Chủ sở hữu router và tường lửa gia đình và doanh nghiệp nhỏ dựa vào cùng một giả định cơ bản: rằng chiếc hộp ở biên mạng là đáng tin cậy. Các implant thường trú trong bộ nhớ thách thức giả định đó, vì một thiết bị bị xâm phạm có thể trông hoàn toàn bình thường từ bên ngoài. Nếu bạn sử dụng tường lửa FortiGate, hoặc bất kỳ tường lửa hay router nào có tính năng quản lý từ xa, thiết bị của bạn là một phần của bề mặt tấn công, chứ không chỉ là một lớp bảo vệ xung quanh nó.

Điều này cũng quan trọng nếu bạn phụ thuộc vào một nhà cung cấp dịch vụ quản lý hoặc ISP. Thiết bị biên của họ nằm giữa bạn và internet, vì vậy các thực hành bảo mật của họ ảnh hưởng gián tiếp đến bạn. Hỏi nhà cung cấp của bạn vá và giám sát các thiết bị mạng của họ như thế nào là một câu hỏi hợp lý.

Các Bước Thực Tế: Cập Nhật, Giao Diện Quản Trị Bị Lộ, Khởi Động Lại và Nhật Ký

Không bước nào trong số này đảm bảo bảo vệ chống lại một implant như PEERSTITCH, nhưng mỗi bước đều thu hẹp không gian mà kẻ tấn công có thể hoạt động.

  1. Giữ firmware luôn cập nhật. Cài đặt các bản cập nhật firmware của nhà cung cấp cho tường lửa hoặc router của bạn ngay khi có thể, và đăng ký nhận thông báo bảo mật từ nhà cung cấp để bạn biết về các bản vá kịp thời.
  2. Đóng các giao diện quản trị hướng ra internet. Nếu trang quản lý có thể truy cập từ internet công cộng, hãy giới hạn nó vào mạng nội bộ của bạn hoặc một đường quản lý riêng. Sử dụng mật khẩu quản trị mạnh, duy nhất và xác thực đa yếu tố khi thiết bị hỗ trợ.
  3. Khởi động lại, nhưng đừng dựa vào nó. Vì mã thường trú trong bộ nhớ thường không tồn tại qua một chu kỳ nguồn, việc khởi động lại có thể xóa một implant đơn giản. Tuy nhiên, nó không phải là cách chữa trị: nếu điểm yếu cơ bản vẫn còn, kẻ tấn công có thể đơn giản quay trở lại. Hãy coi việc khởi động lại là bổ sung cho việc vá, không phải thay thế.
  4. Xem xét và xuất nhật ký. Tìm kiếm các đăng nhập quản trị không quen thuộc, các thay đổi cấu hình bất ngờ và các kết nối ra ngoài kỳ lạ. Gửi nhật ký đến một hệ thống riêng biệt sẽ hữu ích, vì kẻ tấn công kiểm soát thiết bị có thể có khả năng giả mạo nhật ký được lưu trữ trên đó.
  5. Thay thế phần cứng không được hỗ trợ. Các thiết bị không còn nhận được bản cập nhật bảo mật không thể được sửa chữa khi các vấn đề mới xuất hiện.

Điểm Chính

Phần mềm độc hại thường trú trong bộ nhớ PEERSTITCH trên FortiGate cho thấy kẻ tấn công sẵn sàng đầu tư thời gian vào các thiết bị biên mạng chính vì chúng khó kiểm tra. Hãy vá firmware tường lửa và router của bạn, tắt quyền truy cập công khai vào các giao diện quản trị, và biến việc xem xét nhật ký thành thói quen thường xuyên thay vì điều bạn làm sau một sự cố.

Tường lửa là mục tiêu lặp đi lặp lại của các tác nhân tinh vi. Để xem một trường hợp tương tự, hãy đọc cách tin tặc được nhà nước bảo trợ tấn công tường lửa Palo Alto qua CVE-2026-0300, và sau đó kiểm tra khi nào các thiết bị biên của chính bạn được cập nhật lần cuối.

FAQ: Q1: PEERSTITCH là gì? A1: PEERSTITCH là một implant ARM64 thường trú trong bộ nhớ, được triển khai nhắm vào các tường lửa FortiGate trong một cuộc xâm nhập kéo dài vào một nhà cung cấp dịch vụ quản lý viễn thông. Q2: Tại sao phần mềm độc hại thường trú trong bộ nhớ trên tường lửa khó phát hiện? A2: Phần mềm độc hại thường trú trong bộ nhớ sống trong bộ nhớ đang chạy của thiết bị thay vì trên đĩa, vì vậy có thể có rất ít hoặc không có gì được lưu trữ vĩnh viễn để trình quét tìm thấy, và nó có thể để lại ít dấu vết sau khi khởi động lại. Tường lửa khiến việc này khó hơn vì chúng là các thiết bị đóng kín, phần cứng ARM64 ít quen thuộc hơn với nhiều nhà phân tích, chúng nằm ở ranh giới mạng được tin cậy, và nhật ký của chúng có thể thưa thớt. Q3: Tại sao việc nhắm vào một nhà cung cấp dịch vụ quản lý là đáng chú ý? A3: Các MSP vận hành hạ tầng thay mặt cho các tổ chức khác, vì vậy một chỗ đứng trong một MSP có thể có giá trị vượt xa bức tường của chính nó. Q4: Ai là mục tiêu trong cuộc xâm nhập PEERSTITCH này? A4: Hoạt động này là một phần của cuộc xâm nhập kéo dài vào một nhà cung cấp dịch vụ quản lý viễn thông, sử dụng PEERSTITCH nhắm vào các tường lửa FortiGate. Q5: Tôi có cần lo lắng về điều này nếu tôi không vận hành một công ty viễn thông không? A5: Mục tiêu trực tiếp trong trường hợp này là một nhà cung cấp dịch vụ quản lý, nhưng vụ việc là mối lo ngại đối với bất kỳ ai vận hành tường lửa hoặc router, từ các nhà cung cấp lớn đến các văn phòng nhỏ. ---END---