มัลแวร์ PEERSTITCH ใช้ช่องโหว่ FortiOS ฝ่าระบบตรวจสอบ VPN แบบแท็ก

นักวิจัยด้านความปลอดภัยเปิดเผยการค้นพบกลุ่มผู้โจมตีที่มีความสามารถขั้นสูง กำลังใช้ประโยชน์จากช่องโหว่ในระบบปฏิบัติการ FortiOS ของ Fortinet เพื่อติดตั้งมัลแวร์ชนิดใหม่ที่ไม่เคยถูกค้นพบมาก่อน มัลแวร์ดังกล่าวมีชื่อว่า PEERSTITCH ทำงานในหน่วยความจำบนสถาปัตยกรรม ARM64 ทำให้การตรวจจับเป็นไปได้ยาก

การโจมตีครั้งนี้อาศัยช่องโหว่ CVE-2025-61624 ซึ่งเป็นช่องโหว่แบบ path traversal ใน command line interpreter ของผลิตภัณฑ์หลายตัวของ Fortinet ได้แก่ FortiOS, FortiPAM, FortiProxy และ FortiSwitchManager ช่องโหว่นี้ได้คะแนน CVSS ที่ 5.4 ถือว่าอยู่ในระดับปานกลาง แต่สามารถสร้างความเสียหายร้ายแรงได้เมื่อถูกนำไปใช้ร่วมกับเทคนิคอื่น

กลไกการหลบเลี่ยงการตรวจสอบ

จุดเด่นของการโจมตีครั้งนี้อยู่ที่ความสามารถในการหลบเลี่ยงการตรวจสอบในเซสชัน VPN ที่ถูกติดแท็กไว้ โดยปกติแล้วระบบจะมีการตรวจสอบและควบคุมการเข้าถึงทราฟฟิกที่ผ่าน VPN อย่างเข้มงวด แต่มัลแวร์ PEERSTITCH สามารถเลี่ยงกลไกเหล่านี้ได้ ทำให้ผู้โจมตีสามารถแฝงตัวอยู่ในระบบโดยไม่ถูกสังเกต

การทำงานแบบ memory resident หมายความว่ามัลแวร์จะอยู่ในหน่วยความจำเท่านั้น ไม่ได้เขียนลงดิสก์ ส่งผลให้เครื่องมือสแกนมัลแวร์แบบดั้งเดิมที่อาศัยการตรวจหาไฟล์ไม่สามารถตรวจพบได้ การตรวจจับจึงต้องอาศัยการวิเคราะห์พฤติกรรมและการตรวจสอบหน่วยความจำโดยเฉพาะ

ช่องโหว่ path traversal คืออะไร

ช่องโหว่ path traversal เป็นช่องโหว่ที่ช่วยให้ผู้โจมตีสามารถเข้าถึงไฟล์หรือไดเรกทอรีนอกเหนือจากที่ได้รับอนุญาต ผ่านการใช้ลำดับอักขระพิเศษเพื่อเลื่อนไปยังตำแหน่งอื่นในระบบไฟล์ เมื่อช่องโหว่นี้อยู่ใน command line interpreter ของ FortiOS ผู้โจมตีสามารถรันคำสั่งที่ไม่ได้รับอนุญาตได้

แม้คะแนน CVSS จะอยู่ที่ 5.4 ซึ่งดูไม่สูงมากนัก แต่ในทางปฏิบัติเมื่อผู้โจมตีสามารถรันคำสั่งบนอุปกรณ์เครือข่ายที่ทำหน้าที่เป็นเกตเวย์ได้แล้ว ผลกระทบที่ตามมาอาจรุนแรงกว่าคะแนนที่ประเมินไว้มาก

ผลิตภัณฑ์ที่ได้รับผลกระทบ

ช่องโหว่ CVE-2025-61624 ส่งผลกระทบต่อผลิตภัณฑ์ของ Fortinet หลายตัว ได้แก่

FortiOS ระบบปฏิบัติการหลักของ FortiGate
FortiPAM ระบบจัดการสิทธิ์การเข้าถึงแบบ privileged
FortiProxy เครื่องมือ reverse proxy
FortiSwitchManager ระบบจัดการสวิตช์

องค์กรที่ใช้ผลิตภัณฑ์เหล่านี้ควรตรวจสอบการแพตช์อย่างเร่งด่วน และติดตามประกาศจาก Fortinet อย่างใกล้ชิด เพื่อให้แน่ใจว่าระบบได้รับการอัปเดตเป็นเวอร์ชันล่าสุดที่อุดช่องโหว่นี้แล้ว

สิ่งที่องค์กรควรดำเนินการ

เหตุการณ์นี้เป็นอีกหนึ่งเตือนภัยถึงความสำคัญของการอัปเดตซอฟต์แวร์อย่างสม่ำเสมอ โดยเฉพาะอุปกรณ์เครือข่ายที่ทำหน้าที่เป็นด่านแรกในการป้องกัน หากอุปกรณ์เหล่านี้ถูกโจมตีได้ ผู้โจมตีจะสามารถเข้าถึงทรัพยากรภายในองค์กรได้โดยตรง

นอกจากการแพตช์แล้ว องค์กรควรเสริมการตรวจจับด้วยการวิเคราะห์พฤติกรรมบนเครือข่าย ตรวจสอบ log อย่างสม่ำเสมอ และพิจารณาใช้โซลูชันที่สามารถวิเคราะห์หน่วยความจำเพื่อค้นหามัลแวร์ที่ทำงานแบบ memory resident ได้

Reference

The Hacker News

หากสนใจสินค้า หรือต้องการคำปรึกษาเพิ่มเติม

💬 Line @monsteronline

☎️ Tel 02-026-6664

📩 Email [email protected]

🌐 Website mon.co.th