Palo Alto Networks Unit 42 documentou uma operacao de intrusao prolongada que explora uma falha critica no FortiManager para comprometer mais de 500 firewalls FortiGate. O grupo de ataque, rastreado como CL-STA-0954 (tambem chamado UNC5820), utilizou uma falha de autenticacao chamada FortiJump para ganhar acesso nao autenticado a uma plataforma central de gerenciamento e extrair configuracoes, credenciais VPN e material criptografico de centenas de dispositivos.
A falha FortiJump
O ataque comecou em setembro de 2024, quando o grupo explorou a CVE-2024-47575, uma falha de autenticacao ausente no FortiManager. Atraves da porta TCP 541, um atacante nao autenticado conseguiu registrar um dispositivo virtual fraudulento na plataforma de gerenciamento central.
Em minutos, os atacantes extrairam um arquivo de configuracao contendo numeros de serie, enderecos IP publicos, tabelas de roteamento, credenciais VPN e material de confianca criptografica de todos os firewalls gerenciados. Um unico sistema de gerenciamento comprometido entregou as chaves de centenas de redes.
O malware PEERSTITCH
Os atacantes nao pararam na exfiltracao de dados. Eles implantaram um malware chamado PEERSTITCH nos firewalls FortiGate, que opera dentro da memoria do FortiOS e se esconde de deteccoes tradicionais.
O PEERSTITCH e um implante furtivo que permite aos atacantes manterem acesso persistente as redes comprometidas. O malware foi projetado para evadir deteccoes, o que significa que as organizacoes afetadas podem ter sido comprometidas por meses sem saber.
O alcance do ataque
As 500+ dispositivos nao pertenciam todos a mesma organizacao. Eles protegiam a infraestrutura do provedor de servicos gerenciados (MSP) alvo e as redes de seus clientes. Os atacantes obtiveram configuracoes em execucao e chaves privadas de firewalls de organizacoes que nao tinham ideia de que estavam sendo comprometidas.
A operacao documentada pelo Unit 42 mostra uma cadeia de ataque sofisticada: acesso inicial via falha de autenticacao, exfiltracao em massa de credenciais, implantacao de malware persistente e evasao de deteccao.
O que as organizacoes devem fazer
A Palo Alto Networks recomenda que os administradores de FortiManager:
- Verifiquem se estao executando uma versao atualizada do FortiManager, com as correcoes para a CVE-2024-47575 aplicadas.
- Auditam os logs de acesso ao FortiManager para identificar tentativas de registro de dispositivos nao autorizados.
- Revise as configuracoes de rede dos firewalls gerenciados para identificar alteracoes nao autorizadas.
- Procurem por indicadores de comprometimento associados ao PEERSTITCH nos firewalls FortiGate.
A licao do incidente
O caso PEERSTITCH demonstra um risco sistematico em arquiteturas de gerenciamento centralizado: um unico ponto de falha pode comprometer centenas de dispositivos de uma vez. Para MSPs que gerenciam firewalls de multiples clientes, a falha no FortiManager nao e apenas um problema tecnico, e um risco de seguranca em cascata que afeta todos os clientes sob gerencimento.
A Palo Alto Networks alerta que a operacao continuou por um periodo prolongado antes de ser detectada, o que significa que organizacoes afetadas podem ter sido comprometidas sem saber. A revisao proativa de logs e a aplicacao rigorosa de patches sao as unicas defesas contra esse tipo de ataque em cadeia.
Fontes e referências
Encontrou uma informação que precisa de correção? Fale com a redação.