駭客組織 UNC5820 鎖定電信公司發動長期滲透攻擊，利用網路設備大廠 Fortinet 的資安漏洞植入惡意軟體。美國官方上週末已將相關漏洞列入「已遭利用」的漏洞名單，呼籲相關單位儘速修補。
這起攻擊行動由資安公司長期追蹤，自二零二四年九月起就發現相關活動。攻擊者最初利用集中管理平台的漏洞入侵，竊取超過五百台防火牆的執行組態、管理資料庫、網路拓樸，以及管理者與加密連線的憑證資料，規模相當驚人。
值得注意的是，這些防火牆不僅保護受害組織自身的網路，也負責管理客戶端的網路。這意味著單一管理平台遭到入侵，可能波及大量下游設備，影響範圍遠超過單一企業。
在取得管理平台的控制權之後，攻擊者註冊了偽造的防火牆設備，並產生包含大量管理資訊的壓縮檔向外傳送。接著，他們成功破解部分管理者及加密連線的密碼，利用合法帳號建立未經授權的連線，長驅直入內部網路的管理區域。
進入內部網路後，攻擊者竄改多台防火牆的封包擷取設定，監聽未加密的網路流量以及多種內部服務的通訊，藉此蒐集敏感資訊、攔截憑證，並逐步掌握整個網路的架構。
攻擊者還利用竊得的設備序號、憑證與加密信任資料，冒充管理平台的身分，從其他受管理的防火牆設備取得完整組態，進一步擴大控制範圍。
事件時間線
二零二四年九月：資安公司開始追蹤這起攻擊行動。駭客利用集中管理平台的漏洞入侵，竊取超過五百台防火牆的組態、憑證與網路拓樸資料，為後續滲透打下基礎。
其後一段時間：攻擊者註冊偽造設備並外傳管理資訊，破解管理者密碼建立未經授權的連線進入內部網路，同時竄改封包擷取設定監聽內部通訊，逐步擴大控制範圍。
二零二六年四月：設備廠商修補了後續被利用的作業系統漏洞。但攻擊者實際利用該漏洞植入惡意軟體的時間點不明，因此無法判斷入侵發生在修補之前還是之後。
上週末：美國網路安全主管機關發布公告，將該漏洞列入已遭利用的漏洞名單，正式確認其在真實攻擊中被武器化。
在站穩腳步之後，駭客利用防火牆作業系統的漏洞，透過命令列介面的自動指令功能進行路徑遍歷，將惡意指令寫入預期資料夾之外的位置，藉此從受限制的管理者權限，一路提升到作業系統的最高權限。
取得最高權限後，攻擊者部署了名為 PeerStitch 的惡意軟體。這支以 C 語言打造的程式專門針對特定處理器架構，鎖定防火牆的系統記錄程序以及加密連線服務程序進行記憶體注入，修改程序的執行路徑，並建立隱蔽的跨處理程序通訊機制，進而繞過部分原有的身分驗證流程。
PeerStitch 的隱蔽性極高：它不會在磁碟上留下執行檔，不會開啟監聽連接埠，也不會自行建立對外網路連線，而是利用合法程序原有的流量來傳遞資訊。因此，傳統依賴檔案掃描以及網路連線特徵的偵測方式，很可能難以發現它的存在。
除了植入惡意軟體，攻擊者還濫用防火牆內建的網頁伺服器模組以及憑證自動管理機制，建立反向連線通道，維持遠端執行命令的能力，確保即使部分入侵痕跡被清除，仍能保持控制。
為了降低遭到追查的風險，攻擊者會停止系統記錄程序、清除當機紀錄，並刪除惡意管理帳號、連線群組以及自動執行指令等活動痕跡，手法相當老練。
從攻擊鏈來看，這是一起典型的供應鏈式滲透：先拿下集中管理平台，再以點擴面，逐台收割下游設備。電信公司作為關鍵基礎設施，其網路設備一旦被滲透，影響的不只是單一企業，還包括其服務的廣大用戶。
對企業的啟示是，集中管理平台本身就是高價值目標。管理帳號的憑證保護、設備組態的完整性監控，以及異常連線的偵測，都應該提升到與第一線防護同等的優先順序。
後續發展方面，相關單位應儘速確認是否套用修補程式，並全面盤點管理憑證是否外洩。由於攻擊者可能已經掌握大量組態與憑證資料，單純修補漏洞並不足夠，憑證輪換與存取紀錄的徹底清查同樣不可少。
