Lỗ hổng Fortinet bị khai thác để cấy mã độc tàng hình vào thiết bị mạng viễn thông

Theo báo cáo mới của Palo Alto Networks, một nhóm tấn công nghi do nhà nước bảo trợ đã khai thác nhiều lỗ hổng của Fortinet để xâm nhập vào một tổ chức viễn thông, qua đó duy trì quyền truy cập lâu dài vào hệ thống nạn nhân. Đáng chú ý nhất là một phần mềm độc hại mới có tên PeerStitch, được cài trên thiết bị FortiGate và gần như không để lại dấu vết trên ổ đĩa.

Minh họa về thiết bị và lỗ hổng Fortinet

Diễn biến của vụ tấn công

Vụ xâm nhập được quy cho nhóm UNC5820 (Palo Alto Networks theo dõi với mã CL-STA-0954), diễn ra vào tháng 9/2024 và mang lại cho kẻ tấn công quyền truy cập dài hạn vào môi trường của nạn nhân.

Bước đầu tiên là khai thác lỗ hổng thực thi mã từ xa (RCE) nghiêm trọng trên FortiManager, có mã định danh CVE-2024-47575 – lỗ hổng từng được vá vào tháng 10/2024 dưới dạng zero-day. Ngay sau khi bản vá được phát hành, Mandiant đã cảnh báo rằng UNC5820 khai thác lỗ hổng này (còn gọi là FortiJump) từ ít nhất tháng 6/2024.

Báo cáo mới của Palo Alto Networks cho thấy trong cùng chiến dịch, nhóm này còn khai thác thêm CVE-2025-61624 – lỗ hổng path traversal ảnh hưởng đến nhiều sản phẩm Fortinet như FortiOS, FortiPAM, FortiProxy và FortiSwitchManager. Lỗ hổng được vá vào tháng 4/2026 và từng bị Fortinet gắn nhãn zero-day tại thời điểm công bố. Ngày thứ Sáu vừa qua, cơ quan an ninh mạng Mỹ CISA đã đưa CVE-2025-61624 vào danh sách các lỗ hổng đang bị khai thác (KEV), yêu cầu các cơ quan liên bang vá ngay lập tức.

Việc phát hiện ra PeerStitch cho thấy mức độ kỹ thuật của mã độc nhắm vào thiết bị biên ngày càng tinh vi. Bằng cách hoạt động như một bộ tiêm một lần, tránh để lại dấu vết trên ổ đĩa và dựng cầu giao tiếp bí mật trong bộ nhớ tiến trình, kẻ tấn công đạt được khả năng tồn tại lâu dài trong khi né tránh các biện pháp giám sát truyền thống.

PeerStitch: mã độc sống trong bộ nhớ

Theo Palo Alto Networks, UNC5820 dường như đã khai thác lỗ hổng path traversal dưới dạng zero-day để triển khai PeerStitch – một loại mã độc FortiGate chưa từng được ghi nhận trước đây.

Đặc điểm nổi bật của PeerStitch:

• Viết bằng ngôn ngữ C, biên dịch cho kiến trúc ARM64 và chỉ tồn tại trong bộ nhớ.
• Không mở cổng lắng nghe và không tự khởi tạo kết nối ra ngoài.
• Giao tiếp thông qua chính lưu lượng do các tiến trình hợp pháp trên thiết bị tạo ra.

Trong chuỗi tấn công, nhóm này dùng FortiJump để truy cập một máy chủ FortiManager trung tâm, đăng ký một thiết bị FortiGate ảo giả mạo, rồi đánh cắp một tệp cấu hình chứa thông tin về FortiManager, hơn 500 tường lửa FortiGate đang được quản lý và toàn bộ sơ đồ mạng của nạn nhân.

Sau đó, CVE-2025-61624 được khai thác để giành quyền root trên hệ điều hành của tường lửa, từ đó thả một kịch bản khởi chạy PeerStitch. Về bản chất, mã độc hoạt động như một bộ tiêm vá bộ nhớ tiến trình "một lần", nhắm vào hệ thống trung tâm, dịch vụ ghi log lưu lượng và các tiến trình VPN IKE/IPsec của FortiOS. Qua đó, nó tạo ra một cầu giao tiếp bí mật nằm trong bộ nhớ và vượt qua các bước kiểm tra bảo mật mặc định của FortiOS.

Minh họa các cuộc tấn công mạng nhắm vào hạ tầng mạng

Chiêu đánh lừa và xóa dấu vết

Ngoài việc cấy mã độc, nhóm tấn công còn mạo danh FortiManager trong giao tiếp FGFM (FortiGate-to-FortiManager) để gửi lệnh từ hạ tầng bên ngoài. Theo Palo Alto Networks, UNC5820 chiếm danh tính quản trị theo hai cách: chấm dứt phiên của FortiManager thật bằng cách khai thác CVE-2024-26008, hoặc tái sử dụng các thông tin xác thực đã đánh cắp để đăng nhập như FortiManager hợp lệ.

Kẻ tấn công cũng "thực hiện nhiều biện pháp để xóa các dấu vết pháp y", khiến công tác điều tra sau sự cố gặp nhiều khó khăn.

Ý nghĩa với doanh nghiệp và cơ quan tại Việt Nam

Sự việc là lời cảnh báo rõ ràng cho các tổ chức tại Việt Nam đang vận hành thiết bị Fortinet – đặc biệt trong lĩnh vực viễn thông, ngân hàng, năng lượng và hạ tầng số trọng yếu, vốn là mục tiêu ưu tiên của các nhóm tấn công có bảo trợ nhà nước.

• Rà soát và vá ngay các lỗ hổng CVE-2024-47575 và CVE-2025-61624 trên mọi thiết bị FortiManager, FortiGate và FortiProxy.
• Kiểm tra tính toàn vẹn của các thiết bị FortiGate, đặc biệt nếu phát hiện thiết bị ảo đăng ký bất thường lên FortiManager.
• Xoay vòng thông tin xác thực và chứng thư dùng trong giao tiếp FGFM giữa các thiết bị.
• Giám sát lưu lượng giữa FortiGate và FortiManager, không chỉ dựa vào việc quét tệp trên ổ đĩa – vì những mã độc như PeerStitch không để lại tệp.

Logo SecurityWeek

Vụ việc một lần nữa cho thấy các thiết bị biên như tường lửa và VPN gateway đang trở thành mục tiêu chính, bởi chúng thường ít được giám sát chặt chẽ hơn máy chủ và máy trạm nhưng lại nắm giữ vị trí then chốt trong toàn bộ hạ tầng mạng.