Ivanti Connect Secure 零日漏洞链导致未经认证的系统妥协

总结

一个未知的威胁行为者被跟踪为UTA0576，利用了一系列零日漏洞来攻击Ivanti Connect Secure VPN设备，实现了未经身份验证的root级别代码执行。此次攻击结合了身份验证绕过、通过竞争条件的远程代码执行和权限提升。该行为者主要集中于涉及Active Directory、LAPS和BitLocker恢复密钥的凭证盗窃。

调查

Volexity通过网络安全监控识别出被攻破并使用内存和磁盘成像进行法医调查。由于攻击者依赖于内存中的补丁且删除了日志，研究人员使用Volcano平台从核心转储和系统内存中重建利用链。调查还显示，HTTPS请求被用作命令渠道，而不是传统的C2基础设施。

缓解措施

组织应立即应用Ivanti提供的修复认证绕过和RCE漏洞的补丁。安全团队应监控是否有异常的 X-DSCGI-PATH 标头和大量请求访问 /dana-na/auth/url_default/welcome.cgi。强烈建议运行Ivanti完整性检查器并将受影响的设备升级到无漏洞版本。

响应

当检测到可疑活动时，组织应对ICS VPN设备进行法医调查，特别关注横向移动的证据。强烈建议进行内存法医分析，因为大部分利用链在内存中运行，留下有限的磁盘痕迹。检查 /tmp/ 目录中是否有未经授权的脚本，并检查审计日志是否有被篡改的迹象。

模拟执行

• 攻击叙述及命令： 对手旨在通过模拟访问已知用于利用链的恶意CGI端点来利用Ivanti Connect Secure的漏洞。在访问路径 /home/webserver/htdocs/dana/fb/smb/wu.cgi后，攻击者尝试通过在特定目录中写入文件来布置web shell或后期利用工具包 /home/runtime/tmp/。这模仿了未经身份验证的远程代码执行以及在实际零日攻击中观察到的后续文件操作。

• 回归测试脚本：

  #!/bin/bash
  # Ivanti Connect Secure漏洞检测的模拟脚本
  
  # 1. 设置：创建模拟所需的目录结构
  echo "[+] 设置模拟环境..."
  sudo mkdir -p /home/webserver/htdocs/dana/fb/smb/
  sudo mkdir -p /home/runtime/tmp/
  
  # 2. 创建“恶意” CGI 文件
  echo "[+] 创建恶意CGI文件..."
  sudo touch /home/webserver/htdocs/dana/fb/smb/wu.cgi
  sudo chmod 777 /home/webserver/htdocs/dana/fb/smb/wu.cgi
  
  # 3. 模拟利用：访问文件（触发selection_paths）
  echo "[+] 模拟访问恶意CGI路径..."
  cat /home/webserver/htdocs/dana/fb/smb/wu.cgi > /dev/null
  
  # 4. 模拟有效载荷阶段（触发selection_tmp）
  echo "[+] 模拟在/home/runtime/tmp/丢弃有效载荷..."
  echo "<?php system($_GET['cmd']); ?>" | sudo tee /home/runtime/tmp/shell.php > /dev/null
  
  echo "[+] 模拟完成。检查SIEM以获取警报。"

• 清理命令：

  #!/bin/bash
  # 清理脚本以删除模拟工件
  
  echo "[+] 清理模拟工件..."
  sudo rm -f /home/webserver/htdocs/dana/fb/smb/wu.cgi
  sudo rm -f /home/runtime/tmp/shell.php
  sudo rmdir /home/webserver/htdocs/dana/fb/smb/ 2>/dev/null
  sudo rmdir /home/webserver/htdocs/dana/fb/ 2>/dev/null
  sudo rmdir /home/webserver/htdocs/dana/ 2>/dev/null
  sudo rmdir /home/webserver/htdocs/ 2>/dev/null
  sudo rmdir /home/webserver/ 2>/dev/null
  sudo rmdir /home/runtime/tmp/ 2>/dev/null
  sudo rmdir /home/runtime/ 2>/dev/null
  
  echo "[+] 清理完成。"