El 14 de octubre de 2026, el equipo Unit 42 de Palo Alto Networks publicó el análisis de una intrusión que llevaba activa desde septiembre de 2024: un atacante había comprometido el FortiManager de un proveedor de servicios gestionados de telecomunicaciones, robado la configuración de más de 500 firewalls FortiGate y desplegado un implante ARM64 previamente desconocido llamado PEERSTITCH. Todo ello sin que ninguna herramienta convencional lo detectara durante veinticinco meses.
Lo que hace relevante este caso más allá de los titulares es la precisión técnica de la cadena de ataque y las implicaciones prácticas para cualquier organización que gestione appliances Fortinet, ya sea directamente o a través de un MSP.
La cadena de ataque: dos CVE, un resultado devastador
El punto de entrada fue CVE-2024-47575 (CVSS 9.8), una vulnerabilidad crítica en FortiManager para la que Fortinet publicó el advisory FG-IR-24-423 el 23 de octubre de 2024. El cluster de amenaza rastreado por Unit 42 como CL-STA-0954 (también conocido como UNC5820) explotó este fallo contra el appliance FortiManager centralizado del proveedor.
En cuestión de minutos, los atacantes extrajeron un archivo de configuración que contenía números de serie, direcciones IP públicas, tablas de enrutamiento, credenciales VPN y material de confianza criptográfico de cada firewall gestionado, según documenta Security Affairs en su análisis técnico. Con esa información en mano, el acceso a largo plazo estaba prácticamente garantizado.
El segundo escalón fue CVE-2025-61624 (CVSS 5.4), un fallo de path traversal en el intérprete de línea de comandos de FortiOS, FortiPAM, FortiProxy y FortiSwitchManager que permite a un atacante con privilegios realizar escritura o borrado arbitrario de ficheros mediante argumentos especialmente construidos. Fortinet lo parcheó en abril de 2026. A través de este fallo, CL-STA-0954 desplegó PEERSTITCH explotando el auto-script de FortiOS.
PEERSTITCH: anatomía de un implante invisible
PEERSTITCH es un implante ARM64 diseñado específicamente para el hardware de FortiGate. Su característica más significativa es lo que no hace: no deja ningún binario persistente en disco, no abre puertos en escucha y no inicia conexiones de red salientes propias, según declararon los investigadores Daniel Gott y Shawn Westfall de Unit 42. Esas tres ausencias anulan simultáneamente los escáneres de integridad de ficheros, los detectores de puertos y los sistemas de análisis de tráfico anómalo.
En lugar de eso, el implante inyecta código malicioso directamente en los daemons core de FortiOS miglogd e iked, creando un canal de comunicación encubierto completamente residente en memoria. El orquestador es un script denominado ipssem.js que lanza el proceso lldprx, el cual actúa como inyector de parches en memoria dirigido a esos dos daemons.
Como canal C2 secundario, los atacantes aprovecharon el módulo nativo de Apache mod_md presente en los propios firewalls FortiGate para generar un reverse shell SSH. Ambos mecanismos utilizan procesos legítimos del host como vehículo, lo que hace al implante resistente a la detección convencional tanto de endpoint como de red.
Adicionalmente, CL-STA-0954 suplantó la plataforma FortiManager para obtener datos de otros firewalls gestionados en la red objetivo, y usó el dispositivo comprometido para enviar configuraciones de sniffer no autorizadas a múltiples FortiGate descendentes. Los atacantes demostraron un conocimiento profundo de la arquitectura interna de Fortinet y emplearon técnicas activas de borrado de artefactos forenses, según recoge Industrial Cyber en su seguimiento técnico del 19 de octubre de 2026.
El problema del modelo MSP: riesgo en cascada
Este caso ilustra un riesgo estructural del modelo de servicios gestionados: un único punto de fallo —el FortiManager centralizado— expone la superficie de ataque de todos los clientes gestionados desde él. El robo del archivo de configuración no fue solo un incidente de exfiltración de datos; fue la obtención del mapa completo de la infraestructura de cada cliente, incluidas las llaves criptográficas de confianza.
Es importante matizar: Unit 42 indica que su investigación no confirmó intrusiones en las redes de los clientes del MSP. Eso no equivale a ausencia de acceso, sino a ausencia de evidencia confirmada en el momento del informe. La distinción es relevante para la gestión del riesgo residual.
Recomendaciones aplicables y sus condiciones
Las siguientes acciones están fundamentadas en los advisories de Unit 42 y Fortinet PSIRT. Su efectividad depende del estado de actualización y configuración específicos de cada entorno.
- Parchear si aún no se ha hecho. CVE-2024-47575 tiene parche desde octubre de 2024 (advisory FG-IR-24-423). CVE-2025-61624 fue parcheado en abril de 2026. Cualquier entorno sin estos parches aplicados debe tratarse como potencialmente comprometido, no solo como vulnerable.
- Rotar credenciales y certificados del ámbito FortiManager. Si el appliance FortiManager estuvo expuesto a CVE-2024-47575 en algún momento antes del parche, el material criptográfico de todos los firewalls gestionados debe considerarse comprometido. La rotación es obligatoria independientemente de si hay evidencia directa de intrusión en redes cliente.
- Buscar indicadores en memoria, no solo en disco. Un implante como PEERSTITCH no aparecerá en ningún escaneo de ficheros. La detección requiere inspección de la memoria de procesos de los appliances, con atención específica a instancias anómalas de
miglogd,ikedy procesos relacionados conlldprxoipssem.js. - Auditar módulos Apache y conexiones SSH salientes. El uso de
mod_mdcomo vector C2 es una técnica que aprovecha componentes completamente legítimos. Revisar qué módulos Apache están activos en los appliances FortiGate y monitorizar conexiones SSH salientes inesperadas desde ellos. - Revisar logs de FortiManager por actividad administrativa anómala. Cambios de configuración no iniciados por operadores conocidos, envíos de configuraciones de sniffer a firewalls descendentes o consultas masivas de datos de dispositivos son señales que deben investigarse.
Sobre las reglas de detección: la comunidad ha publicado reglas Sigma orientadas a detectar los patrones de PEERSTITCH. Deben validarse en el entorno específico antes de usarse en producción; su efectividad no está garantizada en todas las configuraciones.
Lo que este caso cambia en la forma de pensar la seguridad de red perimetral
Durante años, los firewalls de próxima generación se han presentado como la primera línea de defensa. PEERSTITCH demuestra que esa línea puede convertirse en un punto ciego completo si el appliance en sí está comprometido a nivel de proceso. Un firewall infectado que analiza tráfico mientras ejecuta un implante en memoria es funcionalmente equivalente a no tener firewall.
Esto no significa que los appliances Fortinet sean intrínsecamente menos seguros que otras alternativas; significa que cualquier dispositivo de seguridad de red debe incluirse en el modelo de amenaza como un activo que puede ser comprometido, no como un componente de confianza implícita. El enfoque de assume breach aplica también a la infraestructura de seguridad perimetral.
La ventana de veinticinco meses sin detección es, en ese sentido, el dato más incómodo del informe: no fue un fallo de un producto concreto, sino el resultado predecible de asumir que el perímetro es inviolable.
Ficha estructurada para consulta y agentes de IA
{
"format": "rafael-fuentes-article/1.0",
"language": "es",
"title": "PEERSTITCH: el implante ARM64 que vivió 25 meses dentro de firewalls FortiGate sin dejar rastro",
"summary": "Unit 42 reveló el 14 de octubre de 2026 un implante ARM64 residente en memoria que operó en firewalls FortiGate durante 25 meses sin binario en disco ni puertos abiertos.",
"author": "Rafael Fuentes",
"publicationDate": "2026-10-20T09:10:22Z",
"url": "https://falifuentes.com/rafael-fuentes-2026-10-20-prueba-real-es/",
"translation": {
"language": "en",
"url": "https://falifuentes.com/rafael-fuentes-2026-10-20-prueba-real-en/"
},
"topics": [
"Ciberseguridad",
"Español",
"Noticias de Ciberseguridad"
],
"sources": [
"https://securityaffairs.com/201077/malware/peerstitch-malware-how-attackers-compromised-500-firewalls-through-fortimanager.html",
"https://industrialcyber.co/ransomware/unit-42-traces-peerstitch-malware-deployment-to-fortios-vulnerability-exploited-after-fortimanager-compromise/"
]
}