PEERSTITCH Malware Deployed via FortiOS Flaw Bypasses Checks on Tagged VPN Sessions
2026-10-16
Investigadores de Palo Alto Networks Unit 42 identificaron un malware avanzado llamado PEERSTITCH, diseñado para operar exclusivamente en la memoria de equipos con arquitectura ARM64. Este código de ataque no deja archivos en el disco, no abre puertos nuevos ni genera conexiones de red salientes por sí mismo; en su lugar, se infiltra en procesos legítimos del sistema para ocultar su comunicación.
El ataque se originó mediante la explotación de la vulnerabilidad CVE-2024-47575 (conocida como FortiJump) en dispositivos FortiManager, lo que permitió a los atacantes robar configuraciones, claves criptográficas y credenciales de más de 500 firewalls FortiGate. Posteriormente, utilizaron el fallo CVE-2025-61624, un error de salto de ruta (path traversal) en el intérprete de comandos de FortiOS, FortiPAM, FortiProxy y FortiSwitchManager, para desplegar el malware.
PEERSTITCH funciona modificando procesos clave del sistema (daemons) para crear un puente de comunicación oculto. Al detectar patrones específicos en el tráfico, el malware altera la ejecución de las sesiones VPN, permitiendo que el atacante evite las validaciones de seguridad estándar de FortiOS y mantenga un acceso persistente y casi invisible para las herramientas de detección tradicionales.
Qué significa para una pyme colombiana y cucuteña: Si usted utiliza equipos Fortinet (especialmente FortiGate o FortiManager), no basta con instalar el último parche para estar seguro. Debido a que los atacantes robaron claves y certificados en ataques previos, es urgente que su personal de sistemas realice una rotación completa de todas las credenciales, certificados SSL y claves criptográficas de sus dispositivos. Instalar la actualización de firmware no invalida las claves que ya pudieron haber sido robadas.