خلاصه اجرایی

پژوهشگران Unit 42 بدافزار جدیدی به نام PEERSTITCH را شناسایی کرده‌اند که به‌صورت پنهانی در دستگاه‌های FortiGate فعالیت می‌کند. این بدافزار از تکنیک‌های پیشرفته برای فرار از شناسایی استفاده می‌کند و می‌تواند ترافیک شبکه را تحت کنترل قرار دهد. در این مقاله، ابتدا مفاهیم فنی و زمینه‌های مرتبط با عملکرد PEERSTITCH بررسی می‌شود. سپس شواهد و تله‌متری‌های جمع‌آوری‌شده توسط Unit 42 ارائه می‌گردد تا نحوه شناسایی این تهدید مشخص شود. گردش کار حمله شامل مراحل نفوذ اولیه، استقرار بدافزار و ارتباط با سرورهای فرماندهی و کنترل تشریح می‌شود. همچنین روند triage و شناسایی، چالش‌های مرتبط با مثبت‌های کاذب و محدودیت‌های تحلیل مورد بحث قرار می‌گیرد. شاخص‌های کلیدی مانند هش‌های فایل، آدرس‌های IP و الگوهای رفتاری به‌عنوان معیارهای اندازه‌گیری ارائه می‌شوند. در نهایت، اقدامات دفاعی عملی شامل به‌روزرسانی امضاها، مانیتورینگ مستمر و استفاده از راهکارهای امنیتی چندلایه پیشنهاد می‌گردد. این تحلیل به مدیران امنیتی کمک می‌کند تا در برابر این تهدید نوظهور آمادگی لازم را داشته باشند.

مفاهیم و زمینه‌های فنی

در این بخش، مفاهیم پایه‌ای مرتبط با آسیب‌پذیری CVE-2024-47575، بدافزار PEERSTITCH و معماری FortiManager/FortiGate تشریح می‌شود. این مفاهیم برای درک صحیح زنجیره نفوذ و اقدامات دفاعی ضروری هستند. CVE-2024-47575 که با نام FortiJump نیز شناخته می‌شود، یک آسیب‌پذیری در کانال مدیریتی FMG-Access (پورت TCP 541) در FortiManager است که به مهاجم اجازه می‌دهد بدون احراز هویت، دستورات دلخواه را اجرا کند. بهره‌برداری موفق از این آسیب‌پذیری، نقطه شروع نفوذ چندمرحله‌ای علیه یک سازمان مخابراتی بوده است.

بدافزار PEERSTITCH یک نمونه کد مخرب مقیم در حافظه (memory-resident) با معماری ARM64 است که پس از بهره‌برداری از آسیب‌پذیری دیگری (CVE-2025-61624) از طریق مسیر عبور از مسیر فایل (path traversal) در FortiOS مستقر می‌شود. ویژگی‌های بارز این بدافزار شامل عدم ایجاد فایل دائمی روی دیسک، عدم باز کردن پورت‌های شنود و عدم برقراری اتصالات شبکه خروجی است. ارتباطات این بدافزار از طریق ترافیک تولیدشده توسط فرآیندهای قانونی میزبان آلوده انجام می‌شود که این امر شناسایی آن را با ابزارهای امنیتی متعارف دشوار می‌سازد.

معماری FortiManager به عنوان یک پلتفرم مدیریت متمرکز برای فایروال‌های FortiGate عمل می‌کند و امکان مدیریت پیکربندی، سیاست‌ها و به‌روزرسانی‌ها را از یک نقطه مرکزی فراهم می‌آورد. در این حمله، مهاجمان با سوءاستفاده از CVE-2024-47575، یک دستگاه مجازی FortiGate جعلی به نام localhost را در FortiManager ثبت کردند و سپس بایگانی‌ای از پیکربندی‌های اجرایی، مواد رمزنگاری و پایگاه‌های داده حاوی اطلاعات بیش از ۵۰۰ فایروال FortiGate تحت مدیریت را استخراج کردند. این اطلاعات شامل شماره سریال‌ها، آدرس‌های IP عمومی، جداول مسیریابی و اعتبارنامه‌های رمزنگاری‌شده بود.

پس از دوره توقف طولانی، مهاجمان از دستگاه FortiManager در معرض خطر برای ارسال پیکربندی‌های شنود (sniffer) به چندین فایروال FortiGate استفاده کردند. این شنودها ترافیک HTTP رمزنگاری‌نشده و ۱۱ سرویس خاص را بر روی پورت‌های TCP مختلف هدف قرار می‌دادند تا ارتباطات حساس و نقشه شبکه را استخراج کنند. این اقدامات نشان‌دهنده سطح بالایی از مهارت فنی در معماری Fortinet و پروتکل‌های مدیریتی آن است.

  • CVE-2024-47575: آسیب‌پذیری بحرانی در FortiManager که امکان اجرای کد از راه دور بدون احراز هویت را فراهم می‌کند.
  • PEERSTITCH: بدافزار مقیم در حافظه که از ترافیک قانونی برای ارتباط استفاده می‌کند و هیچ ردپایی روی دیسک باقی نمی‌گذارد.
  • ثبت دستگاه مجازی جعلی: مهاجمان یک FortiGate مجازی به نام localhost را به FortiManager متصل کردند تا به داده‌های مدیریتی دسترسی یابند.
  • استخراج پیکربندی: بایگانی .tm حاوی پیکربندی کامل بیش از ۵۰۰ فایروال، پایگاه‌های داده SQLite و کلیدهای رمزنگاری بود.

شواهد و تله‌متری

بر اساس گزارش منتشرشده توسط تیم تحقیقاتی Palo Alto Unit 42، در جریان یک حمله چندمرحله‌ای به یک سازمان ارائه‌دهنده خدمات مخابراتی، مهاجمان با بهره‌برداری از آسیب‌پذیری CVE-2024-47575 (شناخته‌شده به نام FortiJump) به یک دستگاه FortiManager مرکزی نفوذ کرده‌اند. این آسیب‌پذیری امکان اجرای دستورات از راه دور بدون احراز هویت را از طریق کانال مدیریتی FMG-Access (پورت TCP 541) فراهم می‌کند. در این حمله، مهاجمان یک دستگاه مجازی FortiGate جعلی با نام localhost و شماره سریال FMG-VMTM23017412 را به FortiManager ثبت کرده‌اند که آدرس‌های IP منبع آن 45.32.41[.]202 و سپس 198.199.122[.]22 بوده است.

بلافاصله پس از ثبت دستگاه، مهاجمان یک بایگانی پیکربندی با نام .tm در سیستم فایل FortiManager ایجاد و آن را استخراج کرده‌اند. تحلیل این بایگانی نشان می‌دهد که شامل اطلاعات حساس متعددی بوده است: شماره سریال خود FortiManager و روابط مدیریتی آن با تمام دستگاه‌های ثبت‌شده، فایل‌های پیکربندی کامل بیش از ۵۰۰ فایروال FortiGate تحت مدیریت (شامل زیرساخت داخلی و شبکه‌های مشتریان)، پایگاه‌های داده SQLite مرکزی شامل global.db (شامل دامنه‌های مدیریتی، اشیاء سراسری و بسته‌های خط‌مشی) و revinfo.db (شامل فراداده نسخه‌های دستگاه)، یک فایل متنی ساده شامل بیش از ۵۰۰ شماره سریال FortiGate به همراه آدرس‌های IP عمومی آن‌ها، نقشه‌های توپولوژی شبکه داخلی، جداول مسیریابی و پیکربندی رابط‌ها، و همچنین اعتبارنامه‌های رمزنگاری‌شده مدیریتی، محلی و SSL/VPN و مواد رمزنگاری شامل گواهی‌های عمومی و کلیدهای خصوصی.

پس از یک دوره ماندگاری طولانی، مهاجمان به مرحله شناسایی فعال شبکه روی آوردند. آن‌ها از دستگاه FortiManager در معرض خطر برای ارسال پیکربندی‌های شنود غیرمجاز به چندین فایروال FortiGate تحت مدیریت استفاده کردند. این شنودها عمدتاً ترافیک HTTP رمزنگاری‌نشده و ۱۱ سرویس خاص را بر روی پورت‌های TCP مختلف هدف قرار می‌دادند. جدول ارائه‌شده در گزارش شامل پورت‌هایی مانند 3696 (Telnet Com Port Control) برای رهگیری اعتبارنامه‌های متنی ساده، 3697 (nw-license) برای مدیریت مجوز، 3698 (Sagectlpanel) برای رهگیری اعتبارنامه، 3699 (kpn-icw) برای سرویس مخابراتی، 3700 (lrs-paging) برای پیجینگ و تله‌متری، و 3701 (netcelera) برای شتاب شبکه است. این اقدامات نشان‌دهنده قصد مهاجمان برای رهگیری ارتباطات حساس و ترسیم نقشه محیط شبکه است.

  • آدرس‌های IP مهاجم: 45.32.41[.]202 و 198.199.122[.]22
  • نام فایل بایگانی استخراج‌شده: .tm
  • پایگاه‌های داده: global.db و revinfo.db
  • شماره سریال دستگاه جعلی: FMG-VMTM23017412
  • بیش از ۵۰۰ شماره سریال FortiGate در فایل متنی

گردش کار حمله

بر اساس گزارش واحد ۴۲ پالو آلتو، زنجیره حمله در سپتامبر ۲۰۲۴ با بهره‌برداری از آسیب‌پذیری CVE-2024-47575 در سامانه مدیریت متمرکز FortiManager آغاز شده است. این آسیب‌پذیری به مهاجم اجازه می‌دهد تا از طریق کانال مدیریتی FMG-Access (پورت TCP 541) و بدون نیاز به احراز هویت، دستورات دلخواه را اجرا کند. در گام نخست، مهاجم یک دستگاه FortiGate مجازی جعلی با نام localhost را به FortiManager متصل کرده و سپس بایگانی حاوی پیکربندی‌های اجرایی، مواد رمزنگاری و پایگاه‌های داده را استخراج کرده است.

پس از دسترسی اولیه، مهاجم با استفاده از اطلاعات به‌دست‌آمده، به شناسایی فعال در شبکه پرداخته و پیکربندی‌های sniffing را به چندین FortiGate تحت مدیریت ارسال کرده است. این عملیات برای رهگیری ترافیک HTTP رمزنگاری‌نشده و ۱۱ سرویس خاص روی پورت‌های TCP مختلف انجام شده است. سپس مهاجم از آسیب‌پذیری دیگری به نام CVE-2025-61624 (مسیر traversal در auto-script فایروال FortiOS) برای ارتقای امتیاز و استقرار بدافزار PEERSTITCH استفاده کرده است.

بدافزار PEERSTITCH به‌صورت حافظه‌مقیم (memory-resident) برای معماری ARM64 طراحی شده و هیچ فایل پایداری روی دیسک باقی نمی‌گذارد. همچنین این بدافزار هیچ پورت شنود یا اتصال خروجی برقرار نمی‌کند و ارتباطات خود را از طریق ترافیک مشروع فرآیندهای میزبان آلوده انجام می‌دهد. این ویژگی‌ها باعث می‌شود که PEERSTITCH در برابر روش‌های تشخیص مبتنی بر امضا و تحلیل ترافیک شبکه مقاوم باشد. مهاجم همچنین با جعل هویت FortiManager، از فایروال‌های مدیریت‌شده سایر میزبان‌ها اطلاعات بیشتری استخراج کرده است.

  • بهره‌برداری اولیه از CVE-2024-47575 برای دسترسی به FortiManager
  • استخراج بایگانی شامل پیکربندی بیش از ۵۰۰ فایروال FortiGate
  • شناسایی شبکه و sniffing ترافیک با ارسال پیکربندی‌های sniffer به فایروال‌های تحت مدیریت
  • بهره‌برداری از CVE-2025-61624 برای ارتقای امتیاز و استقرار PEERSTITCH
  • استقرار بدافزار حافظه‌مقیم PEERSTITCH و برقراری ارتباط پنهان از طریق ترافیک مشروع
  1. ثبت دستگاه مجازی جعلی در FortiManager و ایجاد بایگانی .tm
  2. خروج بایگانی حاوی پیکربندی‌ها، کلیدها و پایگاه‌های داده
  3. ارسال پیکربندی‌های sniffer به فایروال‌های هدف برای رهگیری ترافیک
  4. بهره‌برداری از CVE-2025-61624 برای اجرای کد و استقرار PEERSTITCH
  5. استفاده از PEERSTITCH برای حفظ دسترسی بلندمدت و جمع‌آوری اطلاعات

روند triage و شناسایی

برای شناسایی زودهنگام فعالیت‌های مرتبط با این حمله، تیم‌های دفاعی باید ابتدا ترافیک شبکه را به پورت TCP/541 که مربوط به پروتکل FMG-Access است، به دقت زیر نظر بگیرند. هرگونه اتصال غیرعادی به این پورت، به‌ویژه از آدرس‌های IP خارجی یا با الگوهای زمانی نامنظم، باید به عنوان یک هشدار جدی در نظر گرفته شود. همچنین ثبت رویدادهای مربوط به ثبت دستگاه‌های مجازی جدید در FortiManager، به‌ویژه دستگاه‌هایی با نام‌های مشکوک مانند 'localhost'، باید مورد بررسی قرار گیرد.

در گام بعدی، جستجو برای فایل‌های بایگانی با پسوند .tm در سیستم‌فایل FortiManager ضروری است. این فایل‌ها ممکن است حاوی پیکربندی‌های رمزنگاری‌شده و اطلاعات حساس باشند. علاوه بر این، تحلیل پیکربندی sniffer روی FortiGateها اهمیت بالایی دارد. اگر مشاهده شد که یک FortiGate به طور غیرمنتظره‌ای در حال ضبط ترافیک روی پورت‌های خاص (مانند پورت‌های 3696 تا 3701) است، این می‌تواند نشانه‌ای از نفوذ باشد. این پورت‌ها معمولاً برای سرویس‌های مدیریتی یا مخابراتی استفاده می‌شوند و ضبط ترافیک روی آن‌ها بدون مجوز، یک رفتار مشکوک محسوب می‌شود.

همچنین باید به ترافیک خروجی غیرعادی از فرآیندهای قانونی سیستم توجه شود. بدافزار PEERSTITCH از طریق ترافیک تولیدشده توسط فرآیندهای مشروع ارتباط برقرار می‌کند و هیچ اتصال خروجی مستقیمی ندارد. بنابراین، تحلیل رفتار فرآیندها و جستجوی الگوهای ارتباطی غیرعادی (مانند ارسال داده به آدرس‌های ناشناخته) می‌تواند به شناسایی کمک کند. توصیه می‌شود که از ابزارهای تحلیل رفتاری و همچنین سامانه‌های SIEM برای جمع‌آوری و همبستگی این رویدادها استفاده شود.

  • بررسی منظم لاگ‌های FortiManager برای شناسایی ثبت دستگاه‌های جدید و غیرمجاز.
  • پایش ترافیک به پورت 541 و هشدار در صورت مشاهده اتصالات از آدرس‌های IP غیرمجاز.
  • جستجوی دوره‌ای فایل‌های .tm در سیستم‌فایل FortiManager و بررسی صحت آن‌ها.
  • تحلیل پیکربندی sniffer روی تمام FortiGateها و مقایسه با خط مبنا.
  • استفاده از ابزارهای EDR برای شناسایی رفتارهای غیرعادی فرآیندها.
  1. گام ۱: فعال‌سازی لاگ‌گیری جامع روی FortiManager و FortiGateها.
  2. گام ۲: تعیین خط مبنا از ترافیک عادی شبکه و پورت‌های مورد استفاده.
  3. گام ۳: پیاده‌سازی هشدارهای خودکار برای رویدادهای مرتبط با پورت 541 و فایل‌های .tm.
  4. گام ۴: انجام بازبینی دوره‌ای پیکربندی sniffer و مق مقایسه با سیاست‌های امنیتی.
  5. گام ۵: آموزش تیم امنیتی برای شناسایی سریع این شاخص‌ها.
sniffer-traffic-analysis

مثبت‌های کاذب و چالش‌ها

با توجه به ویژگی‌های معماری PEERSTITCH که در گزارش Unit 42 تشریح شده است، تشخیص این بدافزار با چالش‌های قابل توجهی همراه است. از آنجا که این بدافزار فایل دائمی روی دیسک ایجاد نمی‌کند، پورت شنود باز ندارد و ارتباطات خروجی مستقیم برقرار نمی‌کند، روش‌های سنتی تشخیص مبتنی بر امضا یا تحلیل ترافیک شبکه ممکن است به طور طبیعی نتوانند آن را شناسایی کنند. این ویژگی‌ها به طور ذاتی احتمال ایجاد مثبت کاذب را در سیستم‌هایی که به دنبال الگوهای شناخته‌شده بدافزار هستند، افزایش می‌دهد.

یکی از سناریوهای مهم مثبت کاذب، اشتباه گرفتن ترافیک رمزنگاری‌شده یا ترافیک مدیریتی مشروع FortiGate با فعالیت بدافزار است. از آنجا که PEERSTITCH از ترافیک تولیدشده توسط فرآیندهای قانونی میزبان برای ارتباط استفاده می‌کند، ابزارهای تشخیص نفوذ ممکن است رفتارهای عادی مدیریتی مانند به‌روزرسانی پیکربندی یا همگام‌سازی با FortiManager را به عنوان فعالیت مشکوک علامت‌گذاری کنند. این موضوع به ویژه در محیط‌هایی که ترافیک رمزنگاری‌شده گسترده است، چالش‌برانگیز است.

علاوه بر این، عدم وجود فایل روی دیسک به این معناست که اسکن‌های ضدبدافزار مبتنی بر فایل، توانایی شناسایی ندارند. تحلیل حافظه نیز ممکن است به دلیل شباهت بدافزار با فرآیندهای قانونی سیستم‌عامل FortiOS، نتایج نادرست تولید کند. بنابراین، تیم‌های دفاعی باید به جای تکیه بر یک روش واحد، از ترکیب چندین شاخص مانند تغییرات غیرعادی در پیکربندی، دسترسی‌های غیرمجاز به مدیریت مرکزی، و ناهنجاری‌های رفتاری در ترافیک شبکه استفاده کنند.

  • احتمال مثبت کاذب در سیستم‌های تشخیص مبتنی بر امضا به دلیل عدم وجود فایل و پورت باز
  • اشتباه گرفتن ترافیک مدیریتی مشروع با فعالیت بدافزار در ابزارهای تحلیل شبکه
  • چالش در تحلیل حافظه به دلیل شباهت رفتاری با فرآیندهای قانونی FortiOS
  1. پیاده‌سازی مکانیزم‌های تشخیص رفتاری که به جای جستجوی امضا، الگوهای غیرعادی در تعاملات مدیریتی را ردیابی می‌کنند.
  2. استفاده از تحلیل ترافیک رمزنگاری‌شده با قابلیت بازرسی عمیق بسته (DPI) برای شناسایی ناهنجاری‌های پنهان.
  3. پایش مستمر تغییرات در پیکربندی FortiGate و FortiManager برای یافتن نشانه‌های دستکاری.

محدودیت‌های تحلیل

گزارش Unit 42 دربارهٔ نفوذ به یک ارائه‌دهندهٔ خدمات مدیریت‌شدهٔ مخابراتی، عمدتاً بر اساس بررسی محیط خودِ ارائه‌دهنده تهیه شده است. این بررسی شامل زیرساخت‌های فورتینت، فایل‌های پیکربندی، پایگاه‌های داده و ترافیک شبکهٔ داخلی آن مجموعه بوده است. بنابراین، یافته‌های گزارش صرفاً نمایانگر وضعیت امنیتی آن ارائه‌دهنده است و نمی‌توان آن را به‌عنوان تأییدی بر نفوذ به شبکه‌های مشتریان تعبیر کرد.

منبع به صراحت اشاره کرده که شبکه‌های مشتریان که فایروال‌های آن‌ها توسط ارائه‌دهنده مدیریت می‌شده، مورد بررسی قرار نگرفته‌اند. آنچه در گزارش به‌عنوان «قرار گرفتن در معرض خطر» توصیف شده، عمدتاً به افشای اطلاعات پیکربندی و اعتبارنامه‌ها مربوط می‌شود، نه تأیید دسترسی غیرمجاز به آن شبکه‌ها. این تمایز برای ارزیابی دقیق دامنهٔ حادثه حیاتی است.

همچنین، تحلیل Unit 42 بر اساس مشاهدات میدانی و داده‌های جمع‌آوری‌شده از یک مورد خاص انجام شده است. بنابراین، تعمیم نتایج به سایر محیط‌ها یا ارائه‌دهندگان خدمات مدیریت‌شده باید با احتیاط صورت گیرد. نبود داده‌های عمومی دربارهٔ سایر قربانیان احتمالی، امکان تحلیل مقایسه‌ای را محدود می‌کند. هرگونه نتیجه‌گیری دربارهٔ میزان شیوع یا اهداف گسترده‌تر این کمپین، صرفاً جنبهٔ حدسی دارد و نیازمند داده‌های تکمیلی است.

  • بررسی فقط محیط ارائه‌دهنده، نه شبکه‌های مشتریان.
  • عدم تأیید نفوذ به شبکه‌های مشتریان؛ صرفاً افشای اطلاعات پیکربندی و اعتبارنامه‌ها.
  • تکیه بر یک مطالعهٔ موردی؛ تعمیم نتایج نیازمند داده‌های بیشتر است.

شاخص‌های کلیدی و معیارهای اندازه‌گیری

برای ارزیابی سطح ریسک و آمادگی سازمان‌ها در برابر تهدید PEERSTITCH، تعریف شاخص‌های عینی و قابل اندازه‌گیری ضروری است. بر اساس داده‌های منتشرشده توسط Unit 42، این تهدید از طریق بهره‌برداری از CVE-2024-47575 در FortiManager آغاز شده و بیش از ۵۰۰ فایروال FortiGate را تحت تأثیر قرار داده است. بنابراین، نخستین شاخص کلیدی، تعداد فایروال‌های در معرض خطر است که باید به‌صورت مستمر پایش شود. این عدد نشان‌دهنده سطح بالقوه نفوذ و گستردگی آسیب‌پذیری در زیرساخت‌های مدیریت‌شده است.

دومین شاخص، مدت زمان اقامت (dwell time) مهاجم در شبکه است. در این حمله، مهاجمان پس از نفوذ اولیه، دوره‌ای طولانی از اقامت را برای شناسایی و جابجایی جانبی سپری کردند. اندازه‌گیری این شاخص از طریق تحلیل لاگ‌های دسترسی، تغییرات پیکربندی و رویدادهای غیرعادی در FortiManager و فایروال‌های تحت مدیریت امکان‌پذیر است. کاهش این زمان به‌طور مستقیم با بهبود قابلیت‌های شناسایی و پاسخ سریع مرتبط است.

سومین شاخص، تعداد سرویس‌هایی است که ترافیک آن‌ها توسط مهاجم شنود شده است. بر اساس گزارش Unit 42، مهاجمان ۱۱ سرویس خاص را بر روی پورت‌های TCP مختلف هدف قرار دادند. این شاخص نشان‌دهنده عمق نفوذ و میزان دسترسی به داده‌های حساس است. برای اندازه‌گیری این معیار، باید پیکربندی sniffer روی فایروال‌ها به‌صورت دوره‌ای بررسی شود و هرگونه پیکربندی غیرمجاز به‌عنوان یک رویداد امنیتی ثبت و پاسخ داده شود.

  • تعداد فایروال‌های FortiGate در معرض خطر (بیش از ۵۰۰ مورد در این حمله) به‌عنوان شاخص سطح تماس.
  • مدت زمان اقامت مهاجم (dwell time) که نشان‌دهنده کارایی فرآیندهای شناسایی و پاسخ است.
  • تعداد سرویس‌های شنودشده (۱۱ سرویس) که معیاری برای ارزیابی وسعت نشت داده‌ها است.
  1. پیاده‌سازی پایش مستمر بر روی FortiManager برای شناسایی دستگاه‌های غیرمجاز و تغییرات پیکربندی.
  2. تحلیل دوره‌ای لاگ‌ها برای محاسبه مدت زمان اقامت و شناسایی الگوهای دسترسی غیرعادی.
  3. بازبینی منظم پیکربندی sniffer روی فایروال‌ها و مقایسه با خط مبنا (baseline) برای یافتن انحرافات.

عملیاتی‌سازی و اقدامات دفاعی

بر اساس گزارش Unit 42، مهاجمان با بهره‌برداری از دو آسیب‌پذیری CVE-2024-47575 و CVE-2025-61624، زنجیره نفوذی را علیه یک سازمان مخابراتی اجرا کرده‌اند. در گام نخست، از CVE-2024-47575 برای دسترسی به FortiManager مرکزی استفاده شده و سپس با سوءاستفاده از CVE-2025-61624، بدافزار PEERSTITCH را روی دستگاه‌های FortiGate مستقر کرده‌اند. این بدافزار به‌صورت حافظه‌مقیم عمل می‌کند و هیچ فایل دائمی روی دیسک باقی نمی‌گذارد. بنابراین، سازمان‌ها باید پیش‌فرض‌های امنیتی خود را بازنگری کنند و صرفاً به شناسایی مبتنی بر امضا یا فایل متکی نباشند.

نخستین اقدام دفاعی، وصله‌سازی فوری و سیستماتیک تمامی دستگاه‌های FortiManager و FortiGate است. مدیران امنیتی باید پیش از اعمال وصله، ارزیابی دقیقی از میزان مواجهه انجام دهند و دستگاه‌های در معرض اینترنت را در اولویت قرار دهند. همچنین، محدودسازی دسترسی به پورت TCP 541 (کانال مدیریت FMG-Access) از طریق لیست‌های کنترل دسترسی (ACL) و شبکه‌های خصوصی مجازی (VPN) ضروری است. این کار از بهره‌برداری اولیه توسط مهاجمان خارجی جلوگیری می‌کند.

دومین اقدام، پایش مستمر و عمیق ترافیک شبکه و رویدادهای مدیریتی است. از آنجا که PEERSTITCH از ترافیک مشروع برای ارتباط استفاده می‌کند، تشخیص آن نیازمند تحلیل رفتاری و نه صرفاً تطبیق امضا است. سازمان‌ها باید لاگ‌های FortiManager و FortiGate را به‌صورت متمرکز جمع‌آوری کرده و با استفاده از ابزارهای SIEM یا XDR، الگوهای غیرعادی مانند تغییرات ناگهانی در پیکربندی، ثبت دستگاه‌های مجازی جدید، یا تلاش برای استخراج آرشیو پیکربندی را ردیابی کنند. همچنین، بازبینی دوره‌ای اعتبارنامه‌ها و کلیدهای رمزنگاری ذخیره‌شده در FortiManager و چرخش منظم آن‌ها، از سوءاستفاده‌های بعدی جلوگیری می‌کند.

سومین اقدام، بهره‌گیری از راهکارهای امنیتی لایه‌های مختلف است. بر اساس گزارش Unit 42، محصولاتی مانند Advanced WildFire، Advanced Threat Prevention، Advanced URL Filtering، Advanced DNS Security و Advanced IP Defense می‌توانند در شناسایی و مسدودسازی فعالیت‌های مرتبط با این بدافزار مؤثر باشند. همچنین، استفاده از سرویس Cortex Xpanse برای شناسایی سطح حمله خارجی و اولویت‌بندی وصله‌ها توصیه می‌شود. در نهایت، سازمان‌ها باید برنامه واکنش به حادثه را آماده داشته باشند و در صورت مشاهده هرگونه نشانه نفوذ، با تیم‌های متخصص مانند Unit 42 Incident Response تماس بگیرند.

  • اعمال وصله‌های امنیتی مرتبط با CVE-2024-47575 و CVE-2025-61624 در اسرع وقت
  • محدودسازی دسترسی به پورت 541 و سایر پورت‌های مدیریتی فقط برای آدرس‌های مجاز
  • فعال‌سازی ثبت لاگ‌های جامع و ارسال آن‌ها به سیستم‌های SIEM/XDR
  • بازبینی دوره‌ای دستگاه‌های مجازی ثبت‌شده در FortiManager و حذف موارد غیرمجاز
  • چرخش منظم اعتبارنامه‌ها و کلیدهای رمزنگاری ذخیره‌شده در FortiManager
  • استفاده از محصولات Palo Alto Networks برای شناسایی و مسدودسازی ترافیک مخرب
  1. شناسایی تمامی دستگاه‌های FortiManager و FortiGate در شبکه و تهیه فهرست دقیق از نسخه‌های سیستم‌عامل و وضعیت وصله
  2. اولویت‌بندی وصله‌سازی بر اساس میزان مواجهه دستگاه‌ها با اینترنت و اهمیت تجاری آن‌ها
  3. اعمال وصله‌های امنیتی در پنجره‌های نگهداری برنامه‌ریزی‌شده و مستندسازی فرایند
  4. پیکربندی فایروال‌ها و ACLها برای محدودسازی دسترسی به پورت‌های مدیریتی
  5. راه‌اندازی پایش رفتاری بر روی ترافیک مدیریتی و رویدادهای FortiManager
  6. بررسی دوره‌ای گزارش‌های امنیتی و تطبیق آن‌ها با شاخص‌های سازش (IOC) منتشرشده
ویدئوی تکمیلی از کانال رسمی MITRE درباره تبدیل ATT&CK به یک فرایند عملی شکار تهدید.

منابع و مطالعه بیشتر

  1. Palo Alto Unit 42unit42.paloaltonetworks.com
  2. Publisher feedunit42.paloaltonetworks.com