Ce qui s’est passé
Un acteur avancé présumé a été observé en train d’exploiter CVE-2025-61624 dans des technologies Fortinet afin de déployer PEERSTITCH, un malware ARM64 inédit qui réside en mémoire.
La vulnérabilité affiche un score CVSS de 5,4. Elle est décrite comme une faille de traversée de chemin dans l’interpréteur de ligne de commande. Le rapport cite les familles de produits suivantes :
FortiOS
FortiPAM
FortiProxy
FortiSwitchManager
Cette campagne est particulièrement notable, car PEERSTITCH s’exécute en mémoire et l’attaque peut contourner des contrôles portant sur des sessions VPN marquées. Le traitement ne doit donc pas se limiter à une opération classique de gestion des vulnérabilités : il faut corriger l’exposition du firmware, mais aussi rechercher une éventuelle activité post-exploitation.
Pourquoi le score CVSS ne suffit pas
Un score CVSS moyen ne signifie pas nécessairement que le risque opérationnel est faible. La source fait état d’une exploitation observée, attribuée à un acteur avancé présumé, ainsi que du déploiement d’un malware. Ce contexte réel doit peser davantage qu’une lecture isolée du score.
La priorité doit notamment tenir compte des éléments suivants :
Présence d’un produit affecté dans l’environnement
Version actuelle du firmware et niveau d’exposition
Rôle de l’équipement dans les accès VPN, les accès privilégiés, le proxy, la commutation ou l’administration
Activité inhabituelle liée aux sessions VPN marquées ou aux accès administratifs
Possibilité d’installer une version corrigée et toujours prise en charge
La nature résidente en mémoire de PEERSTITCH signifie également qu’une mise à niveau du firmware ne prouve pas, à elle seule, que l’équipement n’a jamais été compromis.
Organiser la remédiation du firmware
Le rapport identifie les familles de produits concernées, mais le résumé fourni avec la source ne précise pas les versions corrigées pour chaque produit et chaque branche de firmware. Les équipes doivent vérifier la version applicable dans les recommandations Fortinet à jour, sans supposer qu’une même version convient à tout le parc.
Une remédiation maîtrisée devrait comprendre les étapes suivantes :
Recenser les produits concernés. Identifier toutes les instances FortiOS, FortiPAM, FortiProxy et FortiSwitchManager, y compris les équipements de secours et les systèmes distants.
Relever le firmware actuel. Enregistrer le produit, le modèle, la version exacte, l’adresse d’administration, l’emplacement et le responsable métier.
Valider la mise à niveau nécessaire. Faire correspondre chaque équipement et chaque branche de version aux recommandations actuelles de l’éditeur.
Sauvegarder les configurations. Conserver un état de référence avant toute modification.
Installer un firmware corrigé et validé. Respecter le chemin de mise à niveau approuvé, puis vérifier le retour au fonctionnement attendu.
Comparer les états avant et après intervention. Examiner les différences de configuration au lieu de se fier uniquement au redémarrage ou à la version affichée.
Rechercher une compromission éventuelle. Examiner les journaux disponibles concernant les sessions VPN, la ligne de commande, l’administration, les changements de configuration et les événements de sécurité.
Conserver les preuves de remédiation. Documenter l’équipement, la version d’origine, l’action réalisée, la version obtenue, la date et l’approbateur.
L’application du correctif ferme l’exposition connue du firmware, mais ne permet pas à elle seule d’établir si PEERSTITCH ou une autre charge malveillante a été active auparavant.
Éléments attestant l’activité de PEERSTITCH
Le principal élément rapporté est l’utilisation effective de CVE-2025-61624 pour livrer PEERSTITCH. Le malware est décrit comme ARM64, résident en mémoire et jusqu’alors non documenté.
Les défenseurs ne doivent ni inventer des indicateurs ni se fier à des signatures non vérifiées. Ils doivent utiliser les indicateurs techniques publiés par les chercheurs à l’origine de l’analyse et par l’éditeur, tout en préservant les données locales disponibles concernant :
Les sessions VPN marquées
Les activités administratives et en ligne de commande
Les changements de configuration inattendus
L’historique des firmwares et des redémarrages
Les événements de sécurité proches de la période d’exploitation suspectée
Puisque le malware réside en mémoire, les décisions de réponse à incident ne doivent pas dépendre exclusivement de recherches sur disque. Tout équipement présentant des signes crédibles de compromission doit suivre les procédures établies de confinement, de préservation des preuves, de restauration et de contrôle des identifiants.
Comment ConnectMyAssets peut aider
ConnectMyAssets fournit un processus sur site et indépendant des constructeurs pour transformer cet avis en programme de remédiation par équipement :
La CMDB dynamique identifie les actifs Fortinet concernés et consigne leur modèle, leur firmware, leur propriétaire, leur emplacement et leur rôle opérationnel.
Le suivi des CVE par actif associe CVE-2025-61624 aux équipements pertinents et permet de distinguer les actifs potentiellement exposés de ceux déjà corrigés.
Le module Backup & History conserve les versions de configuration avant et après intervention, facilite leur comparaison et permet un retour arrière en un clic lorsque cela est approprié.
Le module Automation peut coordonner les mises à niveau validées et les contrôles associés sur une sélection d’actifs, sans supposer que tous les produits suivent le même parcours de mise à jour.
Le Compliance Engine conserve les preuves de remédiation utiles aux exigences NIS2, ISO 27001, PCI, CISA et NIST.
Le suivi de fin de vie signale les équipements dont le statut de support pourrait empêcher l’installation d’un firmware corrigé.
Le bastion SSH et le coffre-fort d’identifiants encadrent les accès administratifs pendant l’investigation et la maintenance.
ConnectMyAssets ne remplace ni la recherche de menaces ni l’analyse forensique. La plateforme aide les équipes infrastructure et sécurité à déterminer quels actifs sont concernés, à préserver les preuves de configuration, à coordonner une remédiation contrôlée et à en démontrer l’achèvement depuis un référentiel sur site.
Source : The Hacker News
