Présentation de la menace
Le groupe d’acteurs malveillants a utilisé le malware PEERSTITCH pour pénétrer des réseaux protégés par les appliances FortiOS. La source indique que le logiciel malveillant est déployé directement via une faille FortiOS, sans préciser de numéro CVE ou de version exacte. Cette absence de détails empêche d’identifier précisément le vecteur d’injection, mais confirme que le code malveillant s’appuie sur une vulnérabilité du système d’exploitation du pare‑pare‑feu.
Mécanisme de la faille FortiOS
FortiOS gère les connexions VPN en appliquant des contrôles d’authentification et de politique sur chaque session. La faille mentionnée permet de bypasser ces contrôles lorsqu’une session est taguée, c’est‑à‑dire marquée pour un usage spécifique (ex. accès à des segments réseau dédiés). En contournant le filtre de tag, l’attaquant obtient un accès non autorisé aux ressources normalement isolées. Aucun détail n’est fourni sur la nature du bug (exécution de code, élévation de privilèges, etc.), ce qui limite l’évaluation du risque technique.
Contournement des contrôles sur les sessions VPN taguées
Les sessions VPN taguées reposent sur des métadonnées insérées lors de l’établissement du tunnel. Ces métadonnées sont ensuite évaluées par le moteur de politique de FortiOS pour appliquer des restrictions d’accès. Le malware PEERSTITCH exploite la faille afin de modifier ou d’ignorer ces métadonnées, ce qui empêche le système de valider correctement le tag. Le résultat est un tunnel VPN qui fonctionne comme s’il était « clean », alors qu’il transporte du trafic malveillant. Cette technique de contournement rend les solutions de détection basées sur les tags inefficaces tant que la faille n’est pas corrigée.
Implications et limites de l’analyse
Sans informations supplémentaires (version de FortiOS, description du correctif, indicateurs de compromission), il est difficile de quantifier l’étendue de l’exposition. Les administrateurs doivent néanmoins vérifier les journaux de connexion VPN pour détecter d’éventuelles incohérences de tag, et appliquer immédiatement les mises à jour de sécurité publiées par Fortinet dès qu’elles sont disponibles. La présence du malware PEERSTITCH indique également que les acteurs sont capables de combiner une vulnérabilité réseau avec un composant malveillant persistant, ce qui augmente la complexité de la réponse incident. En l’absence de données chiffrées, l’analyse reste qualitative et souligne la nécessité d’une visibilité accrue sur les mécanismes de tagging au sein des déploiements VPN.
