UNC5820 похитила данные более 500 межсетевых экранов через CVE-2024-47575
В сентябре 2024 года кластер угроз CL-STA-0954, также известный как UNC5820, скомпрометировал телекоммуникационного провайдера управляемых услуг, эксплуатировав уязвимость CVE-2024-47575 («FortiJump») в централизованном устройстве FortiManager.
Кража конфигураций и доступ к внутренним сетям
Злоумышленники зарегистрировали поддельный виртуальный FortiGate с именем localhost и выгрузили архив с конфигурациями, базами данных SQLite, списками устройств, сведениями о топологии сети, учётными данными, сертификатами, закрытыми ключами и другими материалами доверия. Архив содержал данные более чем о 500 управляемых межсетевых экранах FortiGate.
После закрепления доступа злоумышленники использовали скомпрометированный FortiManager, чтобы развернуть на подключённых устройствах FortiGate конфигурации для перехвата пакетов. Сниффинг охватывал HTTP-трафик и трафик сервисов TFTP, RADIUS, RADIUS Accounting и LDAP. Целью было получить учётные данные, конфигурационные сведения и информацию о внутренних сетях.
Обратимые учётные данные из украденных конфигураций злоумышленники проверяли методом перебора. Их использовали для создания несанкционированных сессий SSL/VPN с внешних инфраструктурных ресурсов, получая доступ к внутренним сетям управления.
Эксплуатация FortiOS и работа PEERSTITCH
Впоследствии злоумышленники эксплуатировали CVE-2025-61624, используя обход ограничений пути в автоматических сценариях FortiOS. Это позволило получить права root и развернуть PEERSTITCH. Вредоносная программа для Linux с архитектурой ARM64 и статической компоновкой работает как одноразовый инъектор в память. Она нацелена на процессы FortiOS /bin/miglogd и /bin/iked.
PEERSTITCH находит процессы через /proc, подключается к ним с помощью ptrace, выделяет исполняемую память и внедряет шеллкод через /proc/<pid>/mem. Пути выполнения программа меняет с помощью патчей ARM64. Она создаёт скрытый канал межпроцессного взаимодействия между двумя демонами: отслеживает легитимный трафик в поисках определённых маркеров, передаёт извлечённые идентификаторы сессий через общую память процессов и меняет связанную с VPN логику валидации.
Цепочка развёртывания включала самоудаляющиеся скрипты, компоненты на JavaScript и WebAssembly, а также нативный инжектор. ВПО не оставляло постоянных бинарных файлов, не открывало порты для прослушивания и не создавало прямых исходящих соединений. Это затрудняло обнаружение методами, основанными на анализе файлов и сетевой активности.
Поддержание доступа и сокрытие следов
Атакующие также злоупотребляли функциональностью ACME-модуля mod_md в Apache. Они направили выполнение задания DNS-01 на /bin/node, внедряли команды оболочки в данные проверки сертификата и использовали непрерывный опрос для обновления сертификата, чтобы поддерживать обратный SSH-шелл.
Для обхода защиты злоумышленники завершали процессы журналирования, очищали журналы аварий, удаляли вредоносные объекты конфигурации, перезаписывали файлы конфигурации обратного шелла обманным содержимым и удаляли инжектор с диска.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
