Ivanti Connect Secureのゼロデイを連鎖させた認証不要な侵害

概要

UTA0576として追跡される未知の脅威アクターが、Ivanti Connect Secure VPNアプライアンスのゼロデイ脆弱性の連鎖を悪用し、認証されていないルートレベルのコード実行を達成しました。この攻撃は認証バイパス、レースコンディションを介したリモートコード実行、および権限昇格を組み合わせたものでした。アクターは主にActive Directory、LAPS、BitLockerリカバリーキーを含む資格情報の窃取に焦点を当てていました。

調査

Volexityはネットワークセキュリティモニタリングを通じて侵害を特定し、メモリとディスクイメージングを使用してフォレンジック調査を行いました。攻撃者がメモリ内パッチ適用とログの削除に依存していたため、研究者はVolcanoプラットフォームを使用してコアダンプとシステムメモリからエクスプロイトチェーンを再構築しました。調査では、HTTPSリクエストが伝統的なC2インフラではなく、コマンドチャネルとして使用されていることも示されました。

緩和策

組織は、認証バイパスおよびRCE脆弱性に対応するIvantiパッチを直ちに適用すべきです。セキュリティチームは、異常な X-DSCGI-PATH ヘッダーおよび大量のリクエストに対して監視すべきです /dana-na/auth/url_default/welcome.cgi。Ivanti Integrity Checkerの実行と、影響を受けたアプライアンスを非脆弱性のあるリリースにアップグレードすることも強く推奨されます。

対応

疑わしい活動が検出された場合、組織はICS VPNアプライアンスのフォレンジック調査を行うべきで、特にラテラルムーブメントの証拠に注意を払います。エクスプロイトチェーンの多くがメモリ上で動作し、ディスク上のアーティファクトが限られているため、メモリフォレンジックは強く推奨されます。 /tmp/ ディレクトリ内の無許可のスクリプトを確認し、監査ログに改ざんの兆候がないかを調査してください。

シミュレーション実行

• 攻撃の背景とコマンド: 攻撃者は、既知の悪意のあるCGIエンドポイントへのアクセスをシミュレートすることで、Ivanti Connect Secureの脆弱性を悪用しようとします。パスにアクセスした後 /home/webserver/htdocs/dana/fb/smb/wu.cgi、攻撃者は特定のディレクトリにファイルを書き込むことによって、ウェブシェルまたは事後悪用ツールキットを段階的に配置しようとします /home/runtime/tmp/。これは、未認証のリモートコード実行とその後のファイル操作を模倣しています。

• リグレッションテストスクリプト:

  #!/bin/bash
  # Ivanti Connect Secure Exploit Detectionのシミュレーションスクリプト
  
  # 1. セットアップ: シミュレーションに必要なディレクトリ構造を作成する
  echo "[+] シミュレーション環境を設定中..."
  sudo mkdir -p /home/webserver/htdocs/dana/fb/smb/
  sudo mkdir -p /home/runtime/tmp/
  
  # 2. "悪意のある" CGIファイルを作成する
  echo "[+] 悪意のあるCGIファイルを作成中..."
  sudo touch /home/webserver/htdocs/dana/fb/smb/wu.cgi
  sudo chmod 777 /home/webserver/htdocs/dana/fb/smb/wu.cgi
  
  # 3. エクスプロイトのシミュレーション: ファイルにアクセスする(選択パスをトリガー)
  echo "[+] 悪意のあるCGIパスへのアクセスをシミュレート中..."
  cat /home/webserver/htdocs/dana/fb/smb/wu.cgi > /dev/null
  
  # 4. ペイロードステージングのシミュレーション(選択tmpをトリガー)
  echo "[+] /home/runtime/tmp/へのペイロードドロップをシミュレート中..."
  echo "<?php system($_GET['cmd']); ?>" | sudo tee /home/runtime/tmp/shell.php > /dev/null
  
  echo "[+] シミュレーション完了。SIEMでアラートを確認してください。"

• クリーンアップコマンド:

  #!/bin/bash
  # シミュレーションアーティファクトを削除するクリーンアップスクリプト
  
  echo "[+] シミュレーションアーティファクトをクリーンアップ中..."
  sudo rm -f /home/webserver/htdocs/dana/fb/smb/wu.cgi
  sudo rm -f /home/runtime/tmp/shell.php
  sudo rmdir /home/webserver/htdocs/dana/fb/smb/ 2>/dev/null
  sudo rmdir /home/webserver/htdocs/dana/fb/ 2>/dev/null
  sudo rmdir /home/webserver/htdocs/dana/ 2>/dev/null
  sudo rmdir /home/webserver/htdocs/ 2>/dev/null
  sudo rmdir /home/webserver/ 2>/dev/null
  sudo rmdir /home/runtime/tmp/ 2>/dev/null
  sudo rmdir /home/runtime/ 2>/dev/null
  
  echo "[+] クリーンアップ完了。"