Qué ha ocurrido
Se ha observado a un presunto actor de amenazas avanzado explotando la CVE-2025-61624 en tecnología de Fortinet para desplegar PEERSTITCH, un malware ARM64 residente en memoria del que no había constancia hasta ahora.
La vulnerabilidad tiene una puntuación CVSS de 5,4 y se describe como un fallo de path traversal en el intérprete de línea de comandos. Las familias de productos afectadas citadas en el informe son:
FortiOS
FortiPAM
FortiProxy
FortiSwitchManager
La campaña es especialmente relevante porque PEERSTITCH opera en memoria y el ataque puede eludir los controles asociados a las sesiones VPN etiquetadas. Esto convierte el problema en algo más que una tarea rutinaria de gestión de vulnerabilidades: los equipos de defensa deben tratar tanto la exposición del firmware como una posible actividad posterior a la explotación.
Por qué la puntuación CVSS no lo dice todo
Una puntuación CVSS media no debe interpretarse como prueba de un riesgo operativo bajo. La fuente informa de una explotación observada por parte de un presunto actor avanzado y del despliegue de malware, un contexto real que una cifra por sí sola no transmite.
Por tanto, la priorización debe tener en cuenta:
Si hay algún producto afectado desplegado en el entorno
Su versión de firmware actual y su exposición
Su papel en los flujos de VPN, acceso privilegiado, proxy, switching o administración
Indicios de sesiones VPN etiquetadas o de actividad administrativa inusuales
Si el equipo todavía puede recibir una versión de firmware corregida adecuada
La presencia de un malware residente en memoria implica además que instalar un firmware nuevo no debe considerarse automáticamente una prueba de que el equipo nunca estuvo comprometido.
Proceso de corrección del firmware
El informe identifica las familias de productos afectadas, pero el resumen de la fuente no indica las versiones corregidas exactas para cada producto y rama de firmware. Los equipos deben verificar la versión aplicable directamente en las indicaciones actuales de Fortinet, en lugar de suponer que una misma versión sirve para toda la gama.
Una respuesta controlada debería incluir:
Inventariar los productos afectados. Localizar todas las instancias de FortiOS, FortiPAM, FortiProxy y FortiSwitchManager, incluidos los sistemas en espera y los desplegados en sedes remotas.
Registrar el firmware actual. Anotar el producto, el modelo, la versión de firmware, la dirección de gestión, la ubicación y el responsable de negocio exactos.
Validar la actualización necesaria. Cotejar cada equipo y rama de versión con las indicaciones de remediación vigentes del fabricante.
Hacer copia de seguridad de las configuraciones. Conservar un estado de configuración conocido antes de introducir cambios.
Instalar el firmware corregido y validado. Seguir la ruta de actualización aprobada y comprobar que el equipo vuelve a su estado de funcionamiento esperado.
Comparar el estado antes y después del cambio. Revisar las diferencias de configuración en lugar de fiarse solo de un reinicio correcto o de la versión mostrada.
Investigar un posible compromiso. Examinar los registros disponibles de sesiones VPN, línea de comandos, administración, cambios de configuración y seguridad, conservando las evidencias pertinentes.
Documentar el cierre. Guardar la prueba del equipo afectado, la versión original, la acción de remediación, la versión resultante, la fecha y la persona que lo aprobó.
Aplicar el parche cierra la exposición conocida del firmware, pero no determina por sí solo si PEERSTITCH u otra carga maliciosa estuvo activa con anterioridad.
Indicios de actividad de PEERSTITCH
La principal evidencia que aporta el informe es que los atacantes ya han utilizado la CVE-2025-61624 para desplegar PEERSTITCH. El malware se describe como ARM64, residente en memoria y desconocido hasta ahora.
Los equipos de defensa deben evitar inventarse indicadores o apoyarse en firmas no verificadas. En su lugar, conviene utilizar los indicadores técnicos publicados por los investigadores originales y por el fabricante, y conservar las evidencias disponibles localmente relacionadas con:
Las sesiones VPN etiquetadas
La actividad administrativa y de línea de comandos
Los cambios de configuración inesperados
El historial de firmware y de reinicios
Los eventos de seguridad en torno al periodo sospechoso de explotación
Como el malware reside en memoria, las decisiones de respuesta a incidentes no deben depender únicamente de búsquedas en disco. Los equipos que muestren indicios creíbles de compromiso deben tratarse con los procedimientos establecidos por la organización para la contención, la preservación de evidencias, la recuperación y la revisión de credenciales.
Cómo ayuda ConnectMyAssets
ConnectMyAssets ofrece un flujo de trabajo on-premise e independiente del fabricante para convertir este aviso en un programa de remediación equipo por equipo:
La CMDB dinámica identifica los equipos Fortinet afectados y registra su modelo, firmware, responsable, ubicación y función operativa.
El seguimiento de CVE por equipo asocia la CVE-2025-61624 a los equipos correspondientes, lo que permite distinguir los potencialmente expuestos de los ya corregidos.
Copias de seguridad e historial guarda versiones de la configuración antes y después de los trabajos de firmware, permite comparar los cambios y ofrece reversión en un clic cuando procede.
La automatización puede coordinar las tareas validadas de firmware y de verificación en los equipos seleccionados, sin presuponer que todos los productos siguen la misma ruta de actualización.
El motor de cumplimiento conserva las evidencias de remediación para marcos como NIS2, ISO 27001, PCI, CISA y los requisitos de NIST.
El seguimiento del fin de vida señala los equipos cuyo ciclo de vida puede impedir una corrección de firmware con soporte.
El bastión SSH y el almacén de credenciales ofrecen un acceso administrativo controlado durante la investigación y el mantenimiento.
ConnectMyAssets no sustituye a la búsqueda de amenazas ni al análisis forense. Ayuda a los equipos de infraestructura y de seguridad a establecer qué equipos están afectados, conservar las evidencias de configuración, coordinar una remediación controlada y demostrar su cierre desde un sistema de referencia on-premise.
Fuente: The Hacker News
