Unit 42 documenta una campaña que explotó una vulnerabilidad crítica para desplegar malware ARM64 residente en memoria, sin dejar rastro en disco.
Investigadores de Palo Alto Unit 42 documentaron una intrusión que comprometió más de 500 firewalls mediante la explotación de CVE-2024-47575, una vulnerabilidad en dispositivos FortiGate. La campaña desplegó PEERSTITCH, un implante diseñado específicamente para arquitectura ARM64 que opera exclusivamente en memoria — una característica que dificulta su detección mediante análisis forense tradicional basado en artefactos de disco. El caso representa un salto cualitativo en la sofisticación de ataques dirigidos a infraestructura perimetral corporativa, donde la persistencia sin huella física se convierte en ventaja táctica.
Cómo funciona un implante que no deja rastro en disco
PEERSTITCH está diseñado para ejecutarse íntegramente en la memoria RAM de dispositivos FortiGate con procesadores ARM64. A diferencia del malware convencional que escribe archivos en el sistema de almacenamiento del dispositivo, este implante reside únicamente en memoria volátil — lo que significa que desaparece tras un reinicio, pero también que evade herramientas de análisis forense que buscan binarios maliciosos en disco. La arquitectura ARM64 es común en appliances de red modernos por su eficiencia energética, pero también presenta un ecosistema de seguridad menos maduro que x86: hay menos herramientas de detección nativas, menos visibilidad en tiempo de ejecución y menor cobertura de soluciones EDR tradicionales.
La elección de esta arquitectura no es casual. Los firewalls corporativos suelen operar con ciclos de actualización lentos y ventanas de mantenimiento estrictas — un reinicio programado puede tardar semanas en producirse, dando al atacante una ventana operativa extendida incluso con persistencia volátil. Durante ese período, el implante puede interceptar tráfico, modificar reglas de filtrado o servir como punto de pivote hacia redes internas sin generar alertas en sistemas de monitoreo que solo inspeccionan cambios en configuración o archivos.
La vulnerabilidad que abrió la puerta a 500 objetivos
CVE-2024-47575 es la falla que permitió la ejecución remota de código en los dispositivos comprometidos. Unit 42 no detalla en su comunicado el vector de explotación específico ni si requiere autenticación previa, pero la escala de la campaña — más de 500 firewalls afectados — sugiere que la vulnerabilidad era explotable de forma automatizada o que existía un conjunto amplio de dispositivos expuestos sin parchear. Fortinet publicó actualizaciones de seguridad para esta CVE, pero la ventana entre la divulgación pública y la aplicación masiva de parches en entornos corporativos suele medirse en semanas o meses, no en días.
El patrón es conocido: los appliances de red corporativos son objetivos de alto valor porque concentran visibilidad y control sobre todo el tráfico de una organización, pero también son dispositivos que los equipos de TI tienden a «tocar» lo menos posible una vez que están en producción estable. Esa inercia operativa — combinada con procesos de gestión de parches que priorizan servidores y endpoints sobre infraestructura de red — crea una superficie de ataque persistente incluso cuando ya existe un fix disponible.
Por qué América Latina queda expuesta por dependencia de appliances sin visibilidad interna
En México, Brasil, Argentina y Chile, los firewalls FortiGate tienen penetración significativa en sectores financiero, energético y de telecomunicaciones — industrias donde la infraestructura perimetral suele gestionarse con equipos pequeños de operaciones de red, sin capacidad dedicada de threat hunting sobre los propios appliances. A diferencia de los endpoints corporativos, donde ya es estándar contar con EDR y telemetría continua, los dispositivos de red suelen monitorearse únicamente a nivel de disponibilidad y throughput, no de integridad de código en ejecución.
Esta asimetría de visibilidad es estructural: las organizaciones latinoamericanas que adoptaron FortiGate lo hicieron precisamente porque son appliances «cerrados» que no requieren administración de sistema operativo completo — pero esa misma opacidad impide detectar un implante en memoria sin herramientas especializadas de análisis forense en vivo. La dependencia regional de un número reducido de proveedores de seguridad perimetral (Fortinet, Palo Alto, Cisco) significa que una vulnerabilidad en cualquiera de ellos expone simultáneamente a cientos de organizaciones sin que exista diversificación real de riesgo.
El patrón que Unit 42 ya había visto en campañas previas contra infraestructura crítica
Unit 42 tiene historial documentado de investigaciones sobre malware dirigido a appliances de red — casos anteriores incluyen implantes en routers Cisco y backdoors en VPNs corporativas. El denominador común es siempre el mismo: los atacantes priorizan dispositivos que están «entre» las capas de seguridad tradicionales, donde no hay antivirus, no hay logging detallado de procesos y no hay personal dedicado a revisar comportamiento anómalo. PEERSTITCH encaja en esa tradición táctica, pero agrega la capa de evasión que representa operar exclusivamente en memoria.
La campaña documentada no especifica atribución — Unit 42 no vincula el ataque a un actor de amenaza conocido ni a una geografía de origen. Eso puede significar que la investigación todavía está en curso, que no hay indicadores suficientes para atribución confiable, o que se trata de una herramienta compartida entre múltiples grupos. Lo que sí queda claro es que la infraestructura comprometida (más de 500 dispositivos) sugiere una operación con objetivos de inteligencia o acceso persistente a redes corporativas, no un ataque oportunista de ransomware.
Nuestro análisis
Este caso confirma una tendencia que venimos observando desde 2023: el desplazamiento del foco de ataque desde endpoints hacia infraestructura de red y nube, donde la visibilidad de seguridad sigue siendo fragmentaria. PEERSTITCH no es el primer implante en memoria para appliances — ya vimos casos similares en routers de borde y controladores SD-WAN — pero sí es notable por la escala documentada y por la especificidad de su diseño para ARM64, una arquitectura que hasta hace poco no era objetivo prioritario de malware corporativo.
La explotación de CVE-2024-47575 en más de 500 dispositivos plantea una pregunta sobre gestión de vulnerabilidades en infraestructura crítica: si un parche está disponible pero la ventana de aplicación es de semanas, ¿cuál es el protocolo de mitigación intermedia? En endpoints, la respuesta es EDR y detección comportamental — pero en appliances de red, esas capas no existen por defecto. Las organizaciones que operan FortiGate (y por extensión, cualquier firewall de appliance cerrado) están asumiendo un riesgo de confianza implícita: confían en que el dispositivo no está comprometido porque no tienen forma práctica de verificarlo sin herramientas forenses especializadas que requieren acceso físico o consola de bajo nivel.
¿Qué pasaría si el próximo implante en memoria incluyera capacidad de persistencia que sobreviva reinicios mediante modificación de firmware — algo técnicamente posible en ARM64 con acceso root?