一种名为 PEERSTITCH 的新型植入程序提醒我们，保护网络的设备本身也可能成为攻击者的藏身之处。根据对该发现的报道，PEERSTITCH 是一种内存驻留的 ARM64 植入程序，在对一家电信管理服务提供商（MSP）的长期入侵中被部署到 FortiGate 防火墙上。这一案例说明了为什么 PEERSTITCH FortiGate 内存驻留恶意软件对任何运行防火墙或路由器的人来说都值得关注，从大型提供商到小型办公室皆然。
公开的细节有限，因此本文只陈述已报道的内容，不对其余部分进行猜测。
PEERSTITCH 在电信提供商网络内部做了什么
核心事实很简短。PEERSTITCH 被用于攻击 FortiGate 防火墙，并作为专为 ARM64 处理器构建的内存驻留植入程序运行。该活动是对一家电信管理服务提供商长期入侵的一部分。
有两个细节值得注意。首先，目标是一家管理服务提供商。MSP 代表其他组织运行基础设施，因此在其内部获得立足点，其价值可能远远超出其自身范围。其次，该入侵被描述为长期性的，这表明攻击者希望安静地留在原地，而非打砸抢式作案。
源材料没有说明攻击者最初是如何进入的，也没有说明他们利用该访问权限做了什么，我们不会对其中任何一点进行猜测。
为什么防火墙上的内存驻留恶意软件难以检测
大多数人将恶意软件想象为磁盘上的一个文件。内存驻留恶意软件的工作方式不同：它存在于设备的运行内存（RAM）中，因此可能几乎没有或完全没有永久存储的内容供扫描器发现。由于设备断电时内存会被清除，这类植入程序在重启后也可能留下极少的痕迹。
防火墙和其他网络边缘设备使这一情况更加困难，原因有以下几点：
- 它们是封闭的设备。 与笔记本电脑不同，你通常无法在防火墙上安装自己的终端安全工具。
- ARM64 硬件对许多分析师来说较为陌生。 围绕桌面和服务器系统建立的工具和习惯并不总能直接套用。
- 它们位于边界。 边缘设备在设计上就受到信任，其流量通常比来自工作站的流量受到更少的审查。
- 日志可能很稀少。 如果植入程序不向磁盘写入太多内容，防御者事后可供检查的痕迹就更少。
这种检测缺口并非防火墙独有。近期关于49% 的勒索软件受害者在检测到攻击之前就已丢失数据的报道显示，防御者得知入侵的时间往往很晚。在无人密切监视的设备上使用隐蔽工具只会进一步扩大这一窗口。Chaos 勒索软件组织的 msaRAT 隐藏在 Chrome 和 Edge 中也体现了类似的主题：攻击者不断选择能够融入正常活动的地方。
这对你意味着什么
如果你不运营电信业务，很自然会问这是否会影响你。此案例中的直接目标是管理服务提供商，报道中没有任何迹象表明家庭用户被单独针对。尽管如此，这一教训具有广泛的适用性。
家庭和小型企业路由器及防火墙的所有者依赖同一个基本假设：网络边缘的那个盒子是可信的。内存驻留植入程序挑战了这一假设，因为一台被攻陷的设备从外部看起来可能完全正常。如果你使用 FortiGate 防火墙，或任何具有远程管理功能的防火墙或路由器，你的设备就是你攻击面的一部分，而不仅仅是围绕它的一层保护。
如果你依赖管理服务提供商或 ISP，这一点同样重要。他们的边缘设备位于你和互联网之间，因此他们的安全实践会间接影响你的安全。询问你的提供商如何修补和监控其网络设备是一个合理的问题。
实用步骤：更新、暴露的管理界面、重启和日志
这些步骤都不能保证防范像 PEERSTITCH 这样的植入程序，但每一步都能缩小攻击者可操作的空间。
- 保持固件为最新。 尽快为你的防火墙或路由器安装厂商固件更新，并订阅厂商的安全公告，以便及时获知修复信息。
- 关闭面向互联网的管理界面。 如果管理页面可以从公共互联网访问，请将其限制在内部网络或专用管理路径中。使用强大且唯一的管理密码，并在设备支持的情况下启用多因素认证。
- 重启，但不要依赖它。 由于内存驻留代码通常无法在断电后存活，重启可以清除简单的植入程序。但这并非根治之法：如果底层弱点仍然存在，攻击者可以轻易返回。将重启视为修补的补充，而非替代。
- 审查并导出日志。 留意陌生的管理员登录、意外的配置更改和异常的出站连接。将日志发送到单独的系统会有所帮助，因为控制了设备的攻击者可能能够篡改存储在其上的日志。
- 更换不受支持的硬件。 不再接收安全更新的设备在新问题出现时无法得到修复。
要点
PEERSTITCH FortiGate 内存驻留恶意软件表明，攻击者愿意在网络边缘设备上投入时间，正是因为这些设备难以检查。为你的防火墙和路由器固件打补丁，关闭管理界面的公共访问，并将日志审查变为常规习惯，而不是在事件发生后才去做。
防火墙是复杂攻击者反复瞄准的目标。关于一个类似的案例，请阅读国家支持的黑客如何通过 CVE-2026-0300 攻击 Palo Alto 防火墙，然后检查你自己的边缘设备上次更新是什么时候。
