كشفت شركة Palo Alto Networks Unit 42 عن حملة اختراق متقدمة استغلت ثغرة أمنية في نظام FortiOS التابع لشركة Fortinet لنشر برمجية خبيثة غير مسبوقة تحمل اسم PEERSTITCH، وهي برمجية متطورة تعمل بالكامل داخل الذاكرة دون ترك آثار دائمة على الأقراص الصلبة، ما يجعل اكتشافها وإزالتها أكثر تعقيدًا مقارنة بالبرمجيات التقليدية.
وتسلط العملية الضوء على مستوى متقدم من التخطيط والتنفيذ، حيث نجح المهاجمون في استغلال ثغرات متعددة داخل بيئة Fortinet للوصول إلى شبكات حساسة، ثم استخدام تقنيات حقن الذاكرة والتلاعب بالعمليات التشغيلية لتجاوز ضوابط الحماية المدمجة داخل أنظمة VPN دون إثارة مؤشرات إنذار تقليدية.
ويعتقد الباحثون أن الجهة المنفذة تمتلك معرفة عميقة ببنية منتجات Fortinet وبروتوكولات إدارتها الداخلية، الأمر الذي مكنها من تنفيذ واحدة من أكثر عمليات الاختراق تعقيدًا التي استهدفت أجهزة الحافة الشبكية خلال السنوات الأخيرة.
استغلال ثغرة FortiOS لزرع برمجية خفية
اعتمد المهاجمون على استغلال الثغرة CVE-2025-61624، وهي ثغرة اجتياز مسارات Path Traversal في مفسر الأوامر الخاص بعدة منتجات من Fortinet، تشمل FortiOS وFortiPAM وFortiProxy وFortiSwitchManager.
وتسمح الثغرة لمهاجم يمتلك امتيازات مسبقة بإجراء عمليات كتابة أو حذف تعسفية للملفات من خلال تمرير معاملات مصممة خصيصًا إلى أوامر موجودة بالفعل داخل النظام.
ورغم أن Fortinet أغلقت الثغرة رسميًا في أبريل 2026، فإن التحقيقات تشير إلى أن المهاجمين استخدموها ضمن سلسلة هجوم معقدة لترسيخ وجودهم داخل الشبكات المستهدفة ونشر برمجية PEERSTITCH.
وجرى اكتشاف النشاط خلال تحقيق طويل الأمد في اختراق استهدف مزود خدمات اتصالات مُدارة، إذ تبين أن المهاجمين استغلوا في البداية ثغرة FortiJump المعروفة بالمعرف CVE-2024-47575 لاختراق منصة FortiManager قبل الانتقال إلى مراحل أكثر تقدمًا داخل البيئة الشبكية.
سرقة بيانات مئات جدران الحماية
بعد السيطرة على منصة الإدارة المركزية، تمكن المهاجمون من سرقة كمية ضخمة من البيانات التشغيلية الحساسة المتعلقة بأكثر من 500 جهاز FortiGate.
وشملت المعلومات المسروقة:
- ملفات الإعدادات التشغيلية الخاصة بجدران الحماية.
- قواعد البيانات المركزية للإدارة.
- أرقام الأجهزة التسلسلية وعناوين الإنترنت العامة.
- خرائط الشبكات الداخلية ومسارات التوجيه.
- بيانات اعتماد مسؤولي الأنظمة.
- شهادات التشفير والمفاتيح الخاصة.
- معلومات جلسات SSL/VPN.
وقد مكنت هذه البيانات المهاجمين من تنفيذ عمليات استطلاع موسعة، والحصول على رؤية دقيقة للبنية التحتية المستهدفة، وإنشاء جلسات VPN غير مصرح بها، وزرع أبواب خلفية إضافية داخل الشبكات.
ويشير حجم المعلومات المسروقة إلى أن الهدف لم يكن مجرد اختراق محدود، بل بناء قدرة طويلة الأمد على الوصول والتحكم في بيئات تشغيل معقدة ومتعددة المؤسسات.
كيف تعمل برمجية PEERSTITCH؟
تم تطوير PEERSTITCH كنظام اختراق متكامل يعمل على أنظمة Linux بمعمارية ARM64، وجرى تصميمه لتجنب معظم وسائل الاكتشاف المعروفة.
فالبرمجية لا تفتح أي منافذ اتصال ظاهرة، ولا تنشئ اتصالات خارجية مستقلة مع خوادم القيادة والتحكم، كما أنها لا تترك ملفات تشغيل دائمة داخل النظام المستهدف.
بدلاً من ذلك تعتمد على استغلال العمليات الشرعية الموجودة أصلًا في نظام FortiOS واستخدامها كوسيط خفي للاتصالات.
وتبدأ العملية بتحميل مجموعة من المكونات البرمجية من خادم خارجي، تتضمن نصوص JavaScript ووحدات WebAssembly وأداة حقن ثنائية تعمل كقلب البرمجية الرئيسي.
بعد ذلك تبدأ مرحلة حقن الذاكرة، حيث تستهدف البرمجية عمليتين أساسيتين داخل FortiOS هما:
- miglogd
- iked
وتستخدم تقنية ptrace لإيقاف هاتين العمليتين مؤقتًا ثم حقن شيفرات خبيثة داخل الذاكرة وإعادة توجيه مسار التنفيذ نحو الكود المزروع.
جسر اتصالات خفي لتجاوز أنظمة الحماية
الابتكار الأخطر في PEERSTITCH يتمثل في إنشاء قناة اتصال سرية داخل ذاكرة النظام بدلاً من إنشاء اتصال شبكي تقليدي يمكن رصده.
فبدلاً من إرسال أو استقبال أوامر مباشرة عبر الشبكة، تستخدم البرمجية العمليتين الشرعيتين miglogd وiked لإنشاء ما يشبه الجسر الخفي بينهما داخل الذاكرة.
ويُبرمج أحد المكونات على البحث عن مؤشرات محددة مخبأة داخل حركة البيانات، من بينها قيمة خاصة للمنفذ 8550 وعلامة تعتمد على عنوان IP محلي هو 169.254.0.1.
وعندما تُكتشف هذه العلامات يتم تمرير رموز الجلسة بين العمليتين بطريقة خفية، ما يسمح للبرمجية بتعديل كيفية تعامل خدمة VPN مع جلسات اتصال معينة.
والنتيجة النهائية هي تجاوز بعض عمليات التحقق الأمنية الافتراضية داخل FortiOS ومنح المهاجمين مسارات وصول سرية يصعب اكتشافها عبر أدوات المراقبة التقليدية.
قناة تحكم إضافية عبر Apache
لم يكتف المهاجمون بزرع PEERSTITCH فقط، بل أنشأوا أيضًا قناة تحكم إضافية من خلال إساءة استخدام الوحدة Apache mod_md الموجودة على بعض جدران الحماية.
وأتاح ذلك تشغيل صدفة عكسية Reverse Shell قائمة على SSH تمنح المهاجمين وسيلة ثانية للوصول إلى الأجهزة حتى في حال اكتشاف إحدى أدوات الاختراق الأخرى.
كما رصد الباحثون قيام المهاجمين بانتحال هوية منصة FortiManager نفسها للحصول على بيانات إضافية من جدران الحماية المُدارة داخل الشبكات المستهدفة، وهو ما يعكس فهمًا عميقًا لآليات الإدارة المركزية الخاصة بمنتجات Fortinet.
عمليات تمويه متقدمة لإخفاء آثار الاختراق
أظهرت التحقيقات أن المجموعة المسؤولة عن الهجوم اتخذت خطوات واسعة لمنع التحليل الجنائي الرقمي وإخفاء آثار نشاطها.
وشملت هذه الإجراءات:
- تعطيل إنشاء سجلات Syslog.
- حذف سجلات الأعطال Crash Logs.
- إرباك أنظمة القياس والمراقبة.
- حذف الحسابات الإدارية المزروعة تلقائيًا بعد انتهاء المهمة.
- إزالة كائنات التشغيل الآلي المستخدمة في الاختراق.
ويرى الباحثون أن هذه الممارسات، إلى جانب طبيعة PEERSTITCH المعتمدة بالكامل على الذاكرة، تعكس مستوى متقدمًا من النضج التقني لمطوري برمجيات استهداف أجهزة الحافة الشبكية.
كما تكشف العملية عن اتجاه متزايد لدى جهات التهديد نحو استهداف أنظمة الإدارة المركزية للأجهزة الأمنية نفسها، باعتبارها نقطة ارتكاز تسمح بالوصول إلى عشرات أو مئات الشبكات التابعة للعملاء من خلال اختراق واحد فقط.
