Ivanti Connect Secure 제로데이, 인증되지 않은 손상 연결

요약

UTA0576으로 추적되는 알 수 없는 위협 행위자가 Ivanti Connect Secure VPN 장치의 제로데이 취약점 체인을 악용하여 인증되지 않은 루트 수준 코드 실행을 달성했습니다. 공격은 인증 우회, 경합 조건을 통한 원격 코드 실행, 권한 상승을 결합하였습니다. 이 행위자는 주로 Active Directory, LAPS 및 BitLocker 복구 키와 관련된 자격 증명 도용에 집중했습니다.

조사

Volexity는 네트워크 보안 모니터링을 통해 타협을 확인하고 메모리 및 디스크 이미징을 사용하여 포렌식 조사를 수행했습니다. 공격자는 메모리 내 패칭과 로그 삭제에 의존했기 때문에 연구원들은 Volcano 플랫폼을 사용하여 핵심 덤프와 시스템 메모리에서 익스플로잇 체인을 재구성했습니다. 조사 결과, HTTPS 요청이 전통적인 C2 인프라 대신 명령 채널로 사용된 것도 확인되었습니다.

완화

조직은 즉시 인증 우회와 RCE 취약점을 해결하는 Ivanti 패치를 적용해야 합니다. 보안 팀은 비정상적인 X-DSCGI-PATH 헤더와 요청의 높은 볼륨을 /dana-na/auth/url_default/welcome.cgi에서 모니터링하는 것이 좋습니다. Ivanti 무결성 검사기를 실행하고 영향을 받은 장치를 비취약 버전으로 업그레이드하는 것도 강력히 권장됩니다.

응답

의심스러운 활동이 감지되면, 조직은 ICS VPN 장치에 대한 포렌식 조사를 수행하여 특히 횡적 이동의 증거에 주의를 기울여야 합니다. 많은 익스플로잇 체인이 메모리에서 운영되고 디스크에 제한된 아티팩트를 남기므로 메모리 포렌식이 강력히 권장됩니다. 확인해보십시오 /tmp/ 디렉토리에서 무단 스크립트를 찾고 감사 로그의 변조 징후를 검사하십시오.

시뮬레이션 실행

• 공격 서사 및 명령: 적은 익스플로잇 체인에 사용되는 알려진 악성 CGI 엔드포인트의 접근을 시뮬레이션하여 Ivanti Connect Secure 취약점을 악용하려고 합니다. 경로에 접근한 후 /home/webserver/htdocs/dana/fb/smb/wu.cgi, 공격자는 특정 디렉토리에 파일을 작성하여 웹 셸이나 사후 악용 툴킷을 배치하려고 시도합니다 /home/runtime/tmp/. 이는 실제 세계 제로데이 악용에서 관찰된 인증되지 않은 원격 코드 실행 및 후속 파일 조작을 모방합니다.

• 회귀 테스트 스크립트:

  #!/bin/bash
  # Ivanti Connect Secure 악용 탐지를 위한 시뮬레이션 스크립트
  
  # 1. 설정: 시뮬레이션에 필요한 디렉토리 구조 생성
  echo "[+] 시뮬레이션 환경 설정 중..."
  sudo mkdir -p /home/webserver/htdocs/dana/fb/smb/
  sudo mkdir -p /home/runtime/tmp/
  
  # 2. "악성" CGI 파일 생성
  echo "[+] 악성 CGI 파일 생성 중..."
  sudo touch /home/webserver/htdocs/dana/fb/smb/wu.cgi
  sudo chmod 777 /home/webserver/htdocs/dana/fb/smb/wu.cgi
  
  # 3. 악용 시뮬레이션: 파일에 접근하기 (selection_paths 트리거)
  echo "[+] 악성 CGI 경로에 접근 시뮬레이션 중..."
  cat /home/webserver/htdocs/dana/fb/smb/wu.cgi > /dev/null
  
  # 4. 페이로드 스테이징 시뮬레이션 (selection_tmp 트리거)
  echo "[+] /home/runtime/tmp/에 페이로드 드롭 시뮬레이션 중..."
  echo "<?php system($_GET['cmd']); ?>" | sudo tee /home/runtime/tmp/shell.php > /dev/null
  
  echo "[+] 시뮬레이션이 완료되었습니다. SIEM에서 경고를 확인하십시오."

• 정리 명령:

  #!/bin/bash
  # 시뮬레이션 아티팩트 제거 스크립트
  
  echo "[+] 시뮬레이션 아티팩트를 정리 중..."
  sudo rm -f /home/webserver/htdocs/dana/fb/smb/wu.cgi
  sudo rm -f /home/runtime/tmp/shell.php
  sudo rmdir /home/webserver/htdocs/dana/fb/smb/ 2>/dev/null
  sudo rmdir /home/webserver/htdocs/dana/fb/ 2>/dev/null
  sudo rmdir /home/webserver/htdocs/dana/ 2>/dev/null
  sudo rmdir /home/webserver/htdocs/ 2>/dev/null
  sudo rmdir /home/webserver/ 2>/dev/null
  sudo rmdir /home/runtime/tmp/ 2>/dev/null
  sudo rmdir /home/runtime/ 2>/dev/null
  
  echo "[+] 정리가 완료되었습니다."