Zero-Days do Ivanti Connect Secure Encadeados para Compromisso Não Autenticado

Resumo

Um ator de ameaça desconhecido, rastreado como UTA0576, explorou uma cadeia de vulnerabilidades zero-day em dispositivos Ivanti Connect Secure VPN para alcançar a execução de código de nível root não autenticada. O ataque combinou uma bypass de autenticação, execução de código remoto através de uma condição de corrida, e elevação de privilégio. O ator focou principalmente no roubo de credenciais envolvendo Active Directory, LAPS e chaves de recuperação do BitLocker.

Investigação

A Volexity identificou a comprometimento através de monitoramento de segurança de rede e realizou uma investigação forense utilizando imagens de memória e disco. Como o atacante dependia de patching na memória e de logs deletados, os pesquisadores usaram a plataforma Volcano para reconstruir a cadeia de exploração a partir de dumps de núcleo e da memória do sistema. A investigação também mostrou que solicitações HTTPS foram usadas como um canal de comando em vez da infraestrutura tradicional de C2.

Mitigação

As organizações devem imediatamente aplicar os patches da Ivanti que abordam a bypass de autenticação e as vulnerabilidades de RCE. As equipes de segurança devem monitorar por sinais de atividade incomum X-DSCGI-PATH cabeçalhos e altos volumes de solicitações para /dana-na/auth/url_default/welcome.cgi. Executar o Ivanti Integrity Checker e atualizar aparelhos afetados para versões não vulneráveis também são fortemente recomendados.

Resposta

Quando uma atividade suspeita é detectada, as organizações devem conduzir investigações forenses dos aparelhos ICS VPN, com atenção particular às evidências de movimento lateral. Forense de memória é altamente recomendada pois grande parte da cadeia de exploração opera em memória e deixa artefatos limitados no disco. Revise o /tmp/ diretório em busca de scripts não autorizados e inspecione os logs de auditoria para sinais de adulteração.

Execução de Simulação

• Narrativa do Ataque & Comandos: O adversário visa explorar a vulnerabilidade do Ivanti Connect Secure simulando o acesso a um endpoint CGI malicioso conhecido usado na cadeia de exploração. Após acessar o caminho /home/webserver/htdocs/dana/fb/smb/wu.cgi, o atacante tenta instanciar um web shell ou um kit de ferramentas de pós-exploração escrevendo um arquivo no diretório específico /home/runtime/tmp/. Isso imita a execução remota de código não autenticada e a subsequente manipulação de arquivos observados na exploração real de zero-day.

• Script de Teste de Regressão:

  #!/bin/bash
  # Script de simulação para Detecção de Exploração do Ivanti Connect Secure
  
  # 1. Configuração: Criar a estrutura de diretórios necessária para a simulação
  echo "[+] Configurando ambiente de simulação..."
  sudo mkdir -p /home/webserver/htdocs/dana/fb/smb/
  sudo mkdir -p /home/runtime/tmp/
  
  # 2. Criar o arquivo CGI "malicioso"
  echo "[+] Criando arquivo CGI malicioso..."
  sudo touch /home/webserver/htdocs/dana/fb/smb/wu.cgi
  sudo chmod 777 /home/webserver/htdocs/dana/fb/smb/wu.cgi
  
  # 3. Simular a exploração: Acessando o arquivo (gatilho selection_paths)
  echo "[+] Simulando acesso ao caminho CGI malicioso..."
  cat /home/webserver/htdocs/dana/fb/smb/wu.cgi > /dev/null
  
  # 4. Simular encenação de carga útil (gatilho selection_tmp)
  echo "[+] Simulando a queda da carga no /home/runtime/tmp/..."
  echo "<?php system($_GET['cmd']); ?>" | sudo tee /home/runtime/tmp/shell.php > /dev/null
  
  echo "[+] Simulação completa. Verifique o SIEM para alertas."

• Comandos de Limpeza:

  #!/bin/bash
  # Script de limpeza para remover artefatos de simulação
  
  echo "[+] Limpando artefatos de simulação..."
  sudo rm -f /home/webserver/htdocs/dana/fb/smb/wu.cgi
  sudo rm -f /home/runtime/tmp/shell.php
  sudo rmdir /home/webserver/htdocs/dana/fb/smb/ 2>/dev/null
  sudo rmdir /home/webserver/htdocs/dana/fb/ 2>/dev/null
  sudo rmdir /home/webserver/htdocs/dana/ 2>/dev/null
  sudo rmdir /home/webserver/htdocs/ 2>/dev/null
  sudo rmdir /home/webserver/ 2>/dev/null
  sudo rmdir /home/runtime/tmp/ 2>/dev/null
  sudo rmdir /home/runtime/ 2>/dev/null
  
  echo "[+] Limpeza concluída."