Уязвимость CVE-2025-25249 в FortiGate открыла путь программе PivotC2: заражены 178 устройств

Ценность такой цели объясняется просто: периметр хранит ключи и пароли, открывающие путь вглубь инфраструктуры. В двух американских организациях атака вышла за пределы самого экрана. Злоумышленники проложили туннели во внутреннюю сеть, собрали сохранённые учётные данные из браузеров и вывели информацию наружу. Один этот факт делает кампанию опасной для любой компании, которая держит VPN или межсетевой экран доступным из интернета. Пострадали и второстепенные ветки: заражения заметили в Чили, Колумбии, Великобритании.

Уязвимость относится к классу переполнения буфера в куче - области памяти, которую программы используют для временных нужд. Ошибка кроется в службе, отвечающей за централизованное управление беспроводными точками доступа. Служба принимает управляющие сообщения из сети, а при обработке одного из типов запросов записывает больше данных, чем отведено буфером. Этого достаточно, чтобы посторонний код получил управление устройством. Оценка критичности - 9,8 из 10. Атаку проводят без учётной записи и без предварительного доступа: нужен только сетевой доступ к службе.

Исправления существуют с начала 2026 года. Fortinet опубликовал уведомление 13 января 2026 года и выпустил обновления прошивки для всех поддерживаемых веток. По данным SOCRadar Threat Research Unit, эксплуатация уязвимости началась не позднее июля 2026 года и продолжается сейчас. Атакующие автоматизировали подбор целей: сценарии делают несколько попыток подряд на одном устройстве, пока не добьются результата, и переходят к следующему адресу. Ручной выбор жертвы здесь не нужен.

Дальнейшая логика атаки выглядит так. Специально подготовленный запрос открывает обратное подключение к атакующему и запускает Node.js - среду выполнения сценариев, которая штатно присутствует в системе. Через неё загружается вторая часть полезной нагрузки. Данные приходят в зашифрованном виде, расшифровываются на месте и запускаются отдельным фоновым процессом. Такой процесс переживает завершение родительской программы, поэтому перезапуск службы уже не помогает. В итоге на устройстве закрепляется PivotC2 - инструмент, который поддерживает интерактивные оболочки; передачу файлов; туннелирование трафика; перенаправление портов в обе стороны; сканирование внутренних диапазонов адресов; сбор конфигурации экрана с последующей расшифровкой сохранённых паролей.

Связь с командно-контрольным сервером построена на постоянном исходящем соединении, защищённом шифрованием. Исходящий канал обходит правила, запрещающие входящие подключения, поэтому блокировка портов на входе задачу не решает. Клиент отправляет сигнал каждые 30 секунд; если отметок нет 90 секунд, сервер закрывает сессию. При обрыве связи программа возвращается к серверу с нарастающими паузами. Отдельная команда позволяет стереть следы заражения и завершить процесс одним действием.

Автоматический режим превращает каждый новый случай заражения в полностью самостоятельную последовательность действий. Сервер сам собирает конфигурацию, расшифровывает учётные данные, определяет внутренние подсети и запускает сканирование типовых служебных портов в найденных и заранее заданных диапазонах. Участие оператора не требуется. В результате число заражённых устройств растёт независимо от того, сколько людей сидит за пультами управления.

Что именно теряет организация. PivotC2 извлекает общий файл конфигурации, настройки сетевых интерфейсов, разделы с зашифрованными секретами и служебный файл с ключом шифрования самого устройства. Расшифровка идёт двумя путями: часть значений вскрывается встроенным в код ключом, остальные - ключом из служебного файла. На выходе злоумышленник получает пароли администраторов, данные пользователей VPN, общие ключи беспроводных сетей, учётные данные для подключения к каталогу и предварительные ключи защищённых туннелей. Все они пригодны для повторного использования на других узлах.

По совокупности признаков речь идёт о русскоязычной группе, нацеленной на финансовую выгоду. Комментарии в инструментах написаны по-русски. В арсенале - средства перечисления каталога пользователей, обратные подключения по протоколу SSH (защищённый удалённый доступ), сетевой сканер, правка реестра для включения удалённого рабочего стола, извлечение паролей из браузеров Chrome и Edge, внедрение кода в системный процесс, а также выгрузка почтовых архивов в облачное хранилище. Проявляется и интерес к другим известным уязвимостям - в FortiManager, PeopleSoft и ArubaOS.

Код PivotC2 изобилует подробными комментариями и подсказками по использованию. Такой стиль указывает на помощь систем искусственного интеллекта при написании программы. Номер версии 0.2.3 говорит о ранней стадии разработки: инструмент ещё будут дорабатывать.

Что делать. Прошивку FortiOS и FortiSwitchManager стоит обновить до исправленных версий. Внешний доступ к службе управления беспроводными точками на границе сети лучше закрыть. Если на устройстве найдены следы заражения или подозрительные соединения, конфигурацию следует считать украденной и заменить все пароли, ключи и сертификаты, которые в ней хранились. Внутренние узлы тоже требуют проверки: стоит поискать включённый удалённый рабочий стол, обратные подключения, обращения к браузерным хранилищам и выгрузки данных в облачные сервисы.

С кампанией FortiBleed, которую вели группировки INC и Lynx, эта операция не связана: общая инфраструктура и жертвы отсутствуют. Совпадает подход. Периметр остаётся самым дешёвым входом в корпоративную сеть, а украденные с него ключи открывают остальную инфраструктуру. Разница лишь в финале: там доходило до программ-вымогателей, здесь пока ограничиваются кражей данных.