Cibercriminosos estão explorando ativamente uma vulnerabilidade em firewalls FortiGate para instalar um malware personalizado baseado em Node.js e transformar os dispositivos comprometidos em pontos permanentes de acesso à rede. A campanha já atingiu dezenas de equipamentos.
A falha explorada é a CVE-2025-25249, um buffer overflow no daemon cw_acd do FortiOS e FortiSwitchManager. O problema permite execução remota de código sem autenticação por meio de requisições especialmente preparadas ao serviço CAPWAP Control.
Após obter acesso, os invasores implantam o arquivo fortirun.bin e utilizam scripts Bash e Python para automatizar novas tentativas de exploração. Em seguida, um código JavaScript executado pelo Node.js baixa a segunda etapa do ataque.
Pesquisadores identificaram varreduras contra mais de 30 mil endereços IP de FortiGate e confirmaram 178 dispositivos comprometidos. Em dois casos nos Estados Unidos, os atacantes avançaram pela rede e exfiltraram dados de caixas do Microsoft Exchange.
São afetadas versões vulneráveis das linhas FortiOS 6.4, 7.0, 7.2, 7.4 e 7.6, além do FortiSwitchManager. As correções estão disponíveis no FortiOS 7.0.18, 7.2.12, 7.4.9 e 7.6.4 ou posteriores.
Administradores devem atualizar imediatamente os appliances, restringir a exposição das portas CAPWAP e procurar processos Node.js suspeitos e arquivos temporários incomuns.
