Уразливості нульового дня в Ivanti Connect Secure, з’єднані для неавтентифікованого компрометації

Резюме

Угруповання, яке відслідковується під назвою UTA0576, скористалося уразливостями нульового дня в VPN-пристроях Ivanti Connect Secure для виконання неавторизованого коду на рівні root. Атака об’єднала обход автентифікації, виконання коду віддалено через стан-гонки та підвищення привілеїв. Основною метою зловмисників було викрадення облікових даних, пов’язаних з Active Directory, LAPS та ключами відновлення BitLocker.

Розслідування

Volexity виявила компрометацію шляхом мережевого моніторингу безпеки та провела судову експертизу з використанням зображень пам’яті та дисків. Оскільки нападник посилався на патчі в пам’яті та видалені журнали, дослідники використовували платформу Volcano для реконструкції експлойт-ланцюга з дампів ядра та системної пам’яті. Розслідування також показало, що HTTPS запити використовувалися як канал команд замість традиційної інфраструктури C2.

Послаблення

Організації повинні негайно застосувати виправлення Ivanti, які усувають обход автентифікації та уразливості RCE. Команди безпеки повинні моніторити незвичну X-DSCGI-PATH заголовки та великі обсяги запитів до /dana-na/auth/url_default/welcome.cgi. Виконання Ivanti Integrity Checker та оновлення уражених пристроїв до безпечних версій також дуже рекомендуються.

Реагування

Коли виявляється підозріла активність, організації повинні проводити судові експертизи VPN-пристроїв ICS, з особливою увагою на ознаки бічного руху. Судова експертиза пам’яті дуже рекомендується, оскільки велика частина експлойт-ланцюга працює в пам’яті та залишає мало слідів на диску. Перегляньте /tmp/ каталог на предмет несанкціонованих скриптів та перевірте журнали аудиту на ознаки підробки.

Імітація виконання

• Опис атаки та команди: Противник планує скористатися уразливістю Ivanti Connect Secure, імітуючи доступ до відомої шкідливої точки CGI, яка використовується в ланцюгу експлойтів. Після доступу до шляху /home/webserver/htdocs/dana/fb/smb/wu.cgi, зловмисник намагається розгорнути web shell або інструментарій постексплуатації, записуючи файл у певну директорію /home/runtime/tmp/. Це імітує неавторизоване віддалене виконання коду та подальшу маніпуляцію файлом, спостережену в реальній експлуатації нульового дня.

• Сценарій регресійного тестування:

  #!/bin/bash
  # Сценарій симуляції для виявлення експлуатації Ivanti Connect Secure
  
  # 1. Налаштування: створіть структуру директорії, необхідну для симуляції
  echo "[+] Налаштування середовища симуляції..."
  sudo mkdir -p /home/webserver/htdocs/dana/fb/smb/
  sudo mkdir -p /home/runtime/tmp/
  
  # 2. Створіть "шкідливий" CGI-файл
  echo "[+] Створення шкідливого CGI-файлу..."
  sudo touch /home/webserver/htdocs/dana/fb/smb/wu.cgi
  sudo chmod 777 /home/webserver/htdocs/dana/fb/smb/wu.cgi
  
  # 3. Імітація експлуатації: доступ до файлу (тригер selection_paths)
  echo "[+] Імітація доступу до шкідливого шляху CGI..."
  cat /home/webserver/htdocs/dana/fb/smb/wu.cgi > /dev/null
  
  # 4. Імітація стадіювання навантаження (тригер selection_tmp)
  echo "[+] Імітація викиду навантаження у /home/runtime/tmp/..."
  echo "<?php system($_GET['cmd']); ?>" | sudo tee /home/runtime/tmp/shell.php > /dev/null
  
  echo "[+] Симуляція завершена. Перевірте SIEM для сигналів тривоги."

• Команди очищення:

  #!/bin/bash
  # Скрипт очищення для видалення артефактів симуляції
  
  echo "[+] Очищення артефактів симуляції..."
  sudo rm -f /home/webserver/htdocs/dana/fb/smb/wu.cgi
  sudo rm -f /home/runtime/tmp/shell.php
  sudo rmdir /home/webserver/htdocs/dana/fb/smb/ 2>/dev/null
  sudo rmdir /home/webserver/htdocs/dana/fb/ 2>/dev/null
  sudo rmdir /home/webserver/htdocs/dana/ 2>/dev/null
  sudo rmdir /home/webserver/htdocs/ 2>/dev/null
  sudo rmdir /home/webserver/ 2>/dev/null
  sudo rmdir /home/runtime/tmp/ 2>/dev/null
  sudo rmdir /home/runtime/ 2>/dev/null
  
  echo "[+] Очищення завершено."