Fortinet 多个漏洞遭利用，电信机构被植入 PeerStitch 后门

Palo Alto Networks 发布报告称，一个疑似具有国家背景的攻击组织 UNC5820 利用多个 Fortinet 漏洞，对一家电信机构实施入侵，并在受害环境中获得长期访问权限。攻击发生在 2024 年 9 月，期间部署了一款此前未知的 FortiGate 后门 PeerStitch。

美国网络安全和基础设施安全局（CISA）已将攻击涉及的路径遍历漏洞 CVE-2025-61624 列入已知被利用漏洞（KEV）清单，要求联邦机构立即修补。

入侵如何发生

Palo Alto Networks 的报告显示，这起入侵发生在 2024 年 9 月，攻击者被追踪为 UNC5820，该公司同时以 CL-STA-0954 编号记录该组织。攻击者最初通过 FortiManager 中的一个严重远程代码执行漏洞获得访问权限，该漏洞编号为 CVE-2024-47575，于 2024 年 10 月作为零日漏洞完成修补。修补发布后不久，Mandiant 曾警告称，UNC5820 至少从 2024 年 6 月起就在利用这一被命名为 FortiJump 的漏洞。

在同一轮入侵中，UNC5820 还利用了 CVE-2025-61624。这是一个路径遍历漏洞，影响 FortiOS、FortiPAM、FortiProxy 和 FortiSwitchManager 等多个 Fortinet 产品，于 2026 年 4 月修补，可让经过身份验证的攻击者写入或删除任意文件。Fortinet 在披露该漏洞时已将其标记为遭零日利用。

根据报告描述的攻击链条，攻击者先利用 FortiJump 进入一台中心 FortiManager 实例，注册了一个伪造的 Virtual FortiGate 设备，随后窃取了一份配置归档文件。该文件包含 FortiManager、500 多台受管 FortiGate 防火墙以及受害方网络的详细信息。之后，攻击者利用 CVE-2025-61624 取得底层防火墙操作系统的 root 权限，并投放脚本以启动 PeerStitch 的部署。

PeerStitch 后门特点

PeerStitch 是一款此前未知的 FortiGate 后门，采用 ARM64 架构，驻留在内存中运行。它不开放监听端口，也不主动发起对外网络连接，而是借助设备上合法进程产生的流量进行通信，以此降低被发现的可能。

该植入体以 C 语言编写，被描述为“一次性进程内存补丁注入器”。它针对中心系统、流量日志以及 FortiOS 中的 IKE/IPsec VPN 服务守护进程进行注入，在这些进程之间建立隐蔽的内存驻留通信桥接，并绕过 FortiOS 默认的安全校验。

在攻击过程中，攻击者还被观察到在 FortiGate 与 FortiManager 之间的 FGFM 通信中冒充 FortiManager，从外部基础设施下发指令。报告称，攻击者采取了大量措施清除取证痕迹。为确立管理身份，UNC5820 要么利用 CVE-2024-26008 终止正版 FortiManager 的会话，要么复用此前窃取的密钥，以合法 FortiManager 的身份通过认证。

被窃取的数据

从已披露的信息看，攻击者获取的核心数据是那份配置归档文件。其中记录了中心 FortiManager 的信息、500 多台受管 FortiGate 防火墙的细节，以及受害电信机构网络的有关情况。

报告未进一步说明攻击者是否还窃取了其他类型的业务数据或通信内容。可以确认的是，攻击者借助窃取的密钥具备了冒充合法 FortiManager 的能力，这使其能够在后续通信中维持管理身份。

Palo Alto Networks 指出，PeerStitch 的发现表明边缘设备恶意软件的技术成熟度正在提升。攻击者以一次性注入器的方式运行，不在磁盘上留下持久化痕迹，而是在进程内存内部构建隐蔽的进程间通信桥接，从而在规避传统监控的同时实现持续驻留。

CISA 与厂商应对

该漏洞影响多个 Fortinet 产品，修补时间为 2026 年 4 月。

Fortinet 方面在披露 CVE-2025-61624 时已确认其遭零日利用。更早的 FortiJump 漏洞则于 2024 10 月作为零日完成修补，Mandiant 随后提示该漏洞自 2024 年 6 月起即被利用。

报告没有说明受害电信机构的具体身份，也未披露事件造成的业务影响范围。对于 UNC5820 的国家背景判断，Palo Alto Networks 的表述为“疑似国家支持”，未给出进一步归因结论。

边缘设备恶意软件趋势

这起事件并非孤例。近期多份安全报告都指向边缘设备和网络基础设施成为攻击重点，攻击者倾向于利用已披露或零日漏洞取得初始访问，再部署定制工具维持长期存在。

与传统的磁盘驻留恶意软件相比，PeerStitch 这类内存驻留植入体更难以通过文件扫描发现。它不开放端口、不主动外连，通信混入合法进程流量，给基于网络流量特征的检测带来挑战。

Palo Alto Networks 在报告中把这种手法概括为技术成熟度的体现：一次性注入、避免磁盘痕迹、在进程内存中搭建隐蔽通信通道，三者结合使攻击者得以在较长时期内保持访问而不易被察觉。

要点

攻击发生于 2024 年 9 月，目标为一家电信机构
初始访问利用 FortiManager 远程代码执行漏洞 CVE-2024-47575
攻击者还利用 CVE-2025-61624 获取防火墙系统 root 权限
PeerStitch 为 ARM64 内存驻留恶意软件，不开放监听端口
CISA 已将 CVE-2025-61624 列入 KEV 清单