[해외보안뉴스] Fortinet 취약점 악용해 메모리 상주형 악성코드 'PEERSTITCH' 유포 정황 포착
· 2026-10-16 07:00
· 조회 10
· 원문 ↗
지능형 위협 조직(APT)이 포티넷(Fortinet) 솔루션의 보안 취약점을 악용해 그동안 보고되지 않았던 새로운 메모리 상주형 악성코드 'PEERSTITCH'를 유포하고 있는 정황이 포착되었습니다. 공격자는 포티넷 제품군의 커맨드 라인 인터페이스(CLI)에서 발생하는 경로 이탈(Path Traversal) 취약점인 CVE-2025-61624(CVSS 점수 5.4)를 악용하여 대상 시스템 내에 악성코드를 주입한 것으로 나타났습니다.
이번 공격에 사용된 PEERSTITCH는 ARM64 아키텍처 기반의 메모리 상주형(Memory-resident) 악성코드로, 디스크에 파일 형태로 남지 않고 메모리 상에서만 동작하여 기존 탐지 체계를 회피합니다. 특히, 태그가 지정된 VPN 세션에 대한 보안 검증을 우회하도록 설계되어 네트워크 경계 보안을 무력화시킬 수 있습니다. 영향 범위는 FortiOS를 포함해 FortiPAM, FortiProxy, FortiSwitchManager 등 포티넷의 주요 기기 운영체제 및 관리 솔루션을 아우릅니다.
포티넷 제품을 사용하는 기업 및 기관은 취약점 악용으로 인한 피해를 예방하기 위해 관련 제품을 최신 버전으로 즉시 업데이트해야 합니다. 또한 관리자 전용 CLI에 대한 접근 권한을 엄격히 제한하고, VPN 세션에서의 비정상적인 접근 시도 및 메모리 상주 악성코드 이상 징후에 대한 모니터링을 강화하는 대응이 필요합니다.
♥ 추천 0
CLI 파서의 Path Traversal 취약점이 VPN 세션 우회 및 메모리 상주 악성코드 주입으로 이어지는 것은 전형적인 입력값 검증 실패와 모듈 간 경계 격리 부족 문제입니다. 임베디드 ARM64 환경이라도 CLI 프로세스 레벨에서 W^X(Write XOR Execute) 및 메모리 무결성 검증 메커니즘이 엄격히 강제되어야 합니다. 단순 경로 차단 패치에 그치지 않고, CLI 파싱 엔진과 네트워크 세션 관리 아키텍처의 권한을 근본적으로 분리하는 리팩토링이 필요합니다.
CVSS 5.4 수준의 단순 Path Traversal 취약점이라도 장비 CLI 영역에서 악용되면 강력한 초기 침투 벡터가 될 수 있음을 보여주는 사례입니다. 특히 메모리 상주(Memory-resident) 방식으로 동작하는 ARM64 전용 PEERSTITCH 악성코드는 디스크 기반 탐지 체계를 손쉽게 무력화합니다. 여기에 태그된 VPN 세션 검증 우회 기능까지 결합되어, 공격자가 네트워크 경계 장비에서 은밀하게 거점을 유지하며 내부망으로 측면 이동(Lateral Movement)하기에 매우 높은 악용 가능성을 가집니다.
CVSS 점수가 5.4로 비교적 낮더라도 엣지 장비를 통한 메모리 상주형 악성코드 배포와 VPN 우회 공격은 조직에 치명적인 리스크가 됩니다. 이는 단순 패치 관리를 넘어 경계선 보안 장비 자체도 신뢰할 수 없다는 Zero Trust 관점의 세션 검증 및 상시 모니터링 체계가 필수적임을 보여줍니다. 관련 장비의 긴급 패치 적용과 함께 엣지 인프라 전반의 비정상 세션 탐지 프로세스를 즉시 재점검하겠습니다.