漏洞利用鏈：從FortiManager到FortiOS

駭客組織UNC5820的攻擊行動自2024年9月開始被追蹤。他們首先利用CVE-2024-47575入侵網路設備集中管理平臺FortiManager，竊取了超過500臺FortiGate防火牆的執行組態、管理資料庫及SSL VPN憑證等關鍵資料。由於FortiManager同時管理受害組織與客戶端網路，單一平臺遭入侵導致大量下游設備暴露風險。攻擊者隨後利用竊得的憑證建立未經授權的VPN連線，進入內部網路管理區域，並透過偽造設備註冊來蒐集敏感資訊。

PeerStitch：隱形惡意軟體的威脅

在取得初步優勢後，UNC5820利用FortiOS漏洞CVE-2025-61624，透過命令列介面的system.auto-script功能進行路徑遍歷，將權限從受限的管理者提升至底層作業系統的Root。接著，他們部署了名為PeerStitch的ARM64惡意軟體。此程式以C語言打造，主要針對系統記錄程序miglogd及IKE/IPsec VPN服務程序iked進行記憶體注入。PeerStitch的特殊之處在於它不會在磁碟留下執行檔、不開啟監聽埠，也不自行建立對外連線，而是利用合法程序的流量傳遞資訊，使得傳統依賴檔案掃描及網路連線特徵的偵測方式難以發現其蹤跡。

反偵測手段與未來挑戰

除了PeerStitch，攻擊者還濫用FortiGate內建的Apache模組mod_md及ACME憑證管理機制，建立反向Shell通道以維持遠端命令執行能力。為了降低被追查的風險，UNC5820採取了嚴密的清理動作，包括停止系統記錄程序、清除當機紀錄，並刪除惡意管理帳號、VPN群組及自動執行指令等活動痕跡。值得注意的是，Palo Alto Networks尚未透露利用CVE-2025-61624的具體時間點，因此無法確定攻擊是否發生在Fortinet於2026年4月發布修補程式之前。這提醒企業需持續監控異常流量，而非僅依賴傳統簽名更新。