CVE-2026-104935: Dzień zerowy Ivanti Connect Secure wykorzystany w złożonych atakach

Podsumowanie

Aktor zagrożeń śledzony jako UTA0576 wykorzystał ciąg trzech luk w zabezpieczeniach urządzeń Ivanti Connect Secure, aby uzyskać nieautoryzowany dostęp root. Łańcuch ataku połączył obejście uwierzytelniania z możliwością zdalnego wykonania kodu, a następnie z niezałatanymi lukami w eskalacji uprawnień. Aktor polegał na ładunkach w pamięci, aby zmniejszyć widoczność i unikać wykrycia przez standardowe narzędzia do sprawdzania integralności.

Dochody

Volexity zidentyfikowało tę aktywność podczas badania incydentu związanego z urządzeniem ICS VPN. Dochodzenie wykazało, że aktor wdrożył etapowy ładunek w pamięci przy użyciu skryptów Perl, Bash i Python, aby zminimalizować ślad w systemie plików. Rekonstrukcja forensyczna wymagała obrazowania pamięci i dysku z powodu technik antyforensycznych atakującego oraz celowego manipulowania logami.

Zabezpieczenie

Organizacje powinny natychmiast zaktualizować Ivanti Connect Secure do wersji 22.8R2.5 lub nowszej, lub przejść na linię kodu 25.1. Użytkownicy powinni być czujni na niezałataną lukę w eskalacji uprawnień i ciągle monitorować oznaki kompromitacji. Poleganie wyłącznie na narzędziu Ivanti Integrity Checker Tool jest niewystarczające, ponieważ może nie identyfikować modyfikacji w pamięci.

Reakcja

Gdy zidentyfikowane zostaną podejrzane działania, osoby reagujące powinny zebrać obrazy pamięci, obrazy dysku i zrzuty rdzenia do szczegółowej analizy forensycznej. Monitorować logi internetowe pod kątem zwiększonej ilości żądań do welcome.cgi i anomalii związanych z nagłówkiem X-DSCGI-PATH. Sprawdzać katalogi tymczasowe pod kątem nieoczekiwanych skryptów i przeglądać logi debugowania lub audytu pod kątem luk, które mogą wskazywać na manipulację.

Egzekucja Symulacji

• Narracja ataku i polecenia: Adwersarz stara się wykorzystać znaną lukę w urządzeniu Ivanti Connect Secure, aby uzyskać początkowy przyczółek. Aby uniknąć tradycyjnych reguł WAF opartych na sygnaturach, które szukają przejścia ścieżki w samym URL, atakujący wykorzystuje nagłówek X-DSCGI-PATH. Celem jest wstrzyknięcie ścieżki, która kieruje serwer WWW do wykonania skryptu w katalogu tymczasowym lub z możliwością zapisu ( header. The goal is to inject a path that directs the webserver to execute a script in a temporary or writable directory (/home/runtime/tmp/), skutecznie omijając uwierzytelnianie i umożliwiając dowolne wykonanie poleceń.

• Skrypt testowy regresji: Ten skrypt symuluje złośliwe żądanie HTTP zawierające określony nagłówek i kombinację URI zdefiniowaną w regule Sigma.

  #!/bin/bash
  # Symulacja obejścia uwierzytelniania Ivanti Connect Secure/RCE
  # Cel: Interfejs webowy Ivanti Connect Secure
  
  TARGET_URL="https://<TARGET_IP>/dana-na/auth/url_default/welcome.cgi"
  MALICIOUS_HEADER="X-DSCGI-PATH: /home/runtime/tmp/"
  
  echo "[*] Rozpoczynanie symulacji T1190/T1212..."
  echo "[*] Wysyłanie złośliwego żądania do $TARGET_URL"
  
  # Użycie curl do wysłania spreparowanego nagłówka
  curl -k -X GET "$TARGET_URL" 
       -H "$MALICIOUS_HEADER" 
       -H "User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)" 
       -v
  
  if [ $? -eq 0 ]; then
    echo "[+] Żądanie wysłane pomyślnie. Sprawdź SIEM pod kątem wykrycia."
  else
    echo "[-] Nie udało się wysłać żądania."
  fi

• Polecenia czyszczenia:

  # Symulacja nie wprowadza trwałych zmian w docelowym systemie.
  # Jeśli jakiekolwiek pliki zostałyby przesłane podczas prawdziwego ataku, zostałyby tutaj usunięte.
  echo "[*] Czyszczenie: W trakcie tej symulacji nie zmodyfikowano żadnych plików na docelowym systemie."