Qué es

PEERSTITCH es un malware ARM64 residente en memoria. Se reporta desde septiembre de 2024 como un implante sigiloso para FortiGate. La evidencia lo describe como una herramienta de intrusión de red multietapa. No se nombra a un grupo específico en las fuentes.

Cómo llega

Se despliega mediante la explotación de CVE-2025-61624. El ataque inicial utilizó CVE-2024-47575 en un appliance FortiManager para exfiltrar configuraciones. También se menciona el uso de Apache mod_md para establecer un reverse shell.

Qué hace una vez dentro

Opera sin dejar artefactos en disco ni trazas de red. Parchea procesos en ejecución para crear canales de comunicación encubiertos entre demonios del sistema. Además, intercepta el tráfico de red.

A quién ataca

Apunta a organizaciones de telecomunicaciones. Se enfoca en infraestructura de red, específicamente en dispositivos FortiGate y consolas FortiManager. La evidencia detalla el ataque contra una entidad de telecomunicaciones en septiembre de 2024.

Técnicas de MITRE ATT&CK

Fuente: AlienVault OTX: técnicas de 1 reporte dedicado al arma.

Grupos que la usan

CL-STA-0954

Uso reportado por AlienVault OTX en un reporte dedicado al arma (nivel presunto). En rojo, los que tienen ficha en nuestro catálogo de villanos. Que un grupo use un arma no quiere decir que todo ataque con ella sea suyo.

Vulnerabilidades asociadas

Actividad en feeds públicos

Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.

Fuentes

• AlienVault OTX: PEERSTITCH, a Stealthy FortiGate Implant