كشف فريق Unit 42 في Palo Alto Networks، في تقرير نشر في 14 أكتوبر 2026، عن تفاصيل حملة سيبرانية استهدفت مزود خدمات اتصالات مدارة، حيث استخدم المهاجمون برمجية خبيثة باسم PEERSTITCH تعمل داخل ذاكرة عمليات جدران FortiGate من Fortinet. ويتتبع الفريق هذا النشاط تحت اسم CL-STA-0954، والمعروف أيضاً بـ UNC5820، مشيراً إلى تقاطع جوانب منه مع اختراقات تنسب إلى جهات حكومية.
بدأت الهجمات في سبتمبر 2024 عبر استغلال ثغرة غياب المصادقة (CVE-2024-47575 بتقييم CVSS عند 9.8)، وهي ثغرة في منصة الإدارة المركزية FortiManager تتيح تنفيذ أوامر عن بعد. سجل المهاجمون جهازاً افتراضياً وهمياً على المنصة، واستخرجوا أرشيفاً يضم إعدادات تشغيل أكثر من 500 جدار مدار، إضافة إلى قائمة بالأرقام التسلسلية والعناوين العامة ومواد التشفير. وأصدرت Fortinet إصلاحات أمنية لهذه الثغرة تشمل الإصدارات 7.6.1 و7.4.5 و7.2.8 و7.0.13 و6.4.15 و6.2.13.
دفع المهاجمون بعد ذلك إعدادات التقاط للحزم نحو جدران مدارة، واستهدفوا جدران الحدود الرئيسية لالتقاط حركة بروتوكولات TFTP وRADIUS وLDAP. واستخدموا كلمات مرور إدارية وبيانات شبكات VPN مستخرجة من الأرشيف لفتح جلسات VPN موجهة إلى شرائح إدارة الشبكة.
وفي مرحلة لاحقة، استغلوا ثغرة اجتياز المسار (CVE-2025-61624 بتقييم CVSS عند 6.0)، وهي ثغرة في واجهة سطر الأوامر لنظام FortiOS تتيح لمدير النظام كتابة أو حذف الملفات. ونشرت Fortinet تحذيرها في 14 أبريل 2026 مؤكدة استغلال الثغرة، وأصلحتها في FortiOS 7.6.5 و7.4.10، مع مطالبة مستخدمي الإصدارات القديمة 7.2 و7.0 و6.4 بالتحديث. وظف المهاجمون هذه الثغرة لرفع الصلاحيات إلى مستوى root وإسقاط محمل وبرمجية PEERSTITCH.
تعتبر PEERSTITCH ملفاً تنفيذياً مخصصاً لمعمارية ARM64 يعمل مرة واحدة، حيث يحقن نفسه في عمليتي miglogd المسؤولة عن السجلات وiked المسؤولة عن شبكات VPN ضمن نظام FortiOS، ثم يحذف ملفه الأصلي. وتعمل البرمجية داخل الذاكرة دون ترك ملف ثابت على القرص، ودون فتح منفذ استماع أو بدء اتصال صادر. وتفحص خطافات البرمجية حركة المرور للبحث عن علامات محددة تتجاوز فحوص الأمان الافتراضية في النظام.
واستعمل المهاجمون قناة ثانية عبر إساءة استغلال وحدة mod_md في Apache لإنشاء اتصال عكسي، وعملوا على إخفاء آثارهم من خلال إيقاف عمليات السجلات، ومحو سجلات الانهيار، وحذف حسابات المدير والكائنات المستحدثة، واستبدال ملف الإعداد الخبيث بنص عادي.
ولم تحدد Unit 42 مدى تأثر شبكات عملاء المزود أو اسم المزود والعدد الفعلي للأجهزة المخترقة. وتوصي الجهات الأمنية بعزل واجهات الإدارة واعتبار كافة بيانات الاعتماد والشهادات المخزنة في المنصة المخترقة مكشوفة مع ضرورة تدويرها، مؤكدة أن تثبيتها وتحديثها وحده لا ينهي الاختراق.
