CVE-2026-111357 e CVE-2026-118527: Ivanti Zero-Days Exploradas em Ambientes Reais

Resumo

O ator de ameaça UTA0576 está explorando uma cadeia de vulnerabilidades nos dispositivos Ivanti Connect Secure (ICS) para obter acesso root não autenticado. A cadeia de ataque envolve uma bypass de autenticação (CVE-2026-104935), escalonamento de privilégios (CVE-2026-111357) e upload remoto de arquivos (CVE-2026-118527). Estas vulnerabilidades estão sendo ativamente exploradas em ataques contra soluções empresariais de VPN.

Investigação

A investigação da Volexity identificou UTA0576 usando uma cadeia de exploits para ganhar acesso root em dispositivos Ivanti executando a versão 22.8R2.4. A investigação revelou evidências de roubo de credenciais e consultas ao Active Directory visando senhas do Windows LAPS e chaves de recuperação do BitLocker. Os investigadores também observaram que a atividade foi projetada para evitar a Ferramenta de Verificação de Integridade da Ivanti.

Mitigação

A Ivanti lançou correções para as vulnerabilidades identificadas; os usuários devem atualizar para a versão 22.8R2.6 ou posterior o mais rápido possível. Para aqueles que não podem migrar imediatamente, aplicar a atualização 22.8R2.6 é o caminho recomendado. Os usuários são aconselhados a mover-se do ramo 22.8.X para uma versão suportada.

Resposta

Se houver suspeita de comprometimento, as organizações devem seguir os procedimentos formais de recuperação da Ivanti e girar todas as credenciais potencialmente expostas. É crucial preservar a memória e os logs antes de reiniciar ou redefinir o dispositivo. As organizações também devem investigar em busca de evidências de exclusão seletiva de logs nos logs de auditoria.

Execução de Simulação

• Narrativa de Ataque & Comandos: Após explorar com sucesso uma vulnerabilidade do Ivanti Connect Secure para obter acesso inicial, o adversário visa estabelecer um canal C2 persistente. Para evitar a detecção por assinaturas baseadas em nomes de arquivo, o invasor usa um fluxo de execução sequestrado (T1574.001) para executar uma carga maliciosa. A carga está configurada para “ligar para casa” à infraestrutura UTA0576 no IP 108.165.147.64 para receber mais instruções e exfiltrar credenciais roubadas. Esta ação acionará a regra Sigma gerando um evento de conexão de rede para o IP sinalizado.

• Script de Teste de Regressão:

  # Simulação de Comunicação C2 UTA0576
  # Este script imita um processo comprometido comunicando-se com o IP malicioso
  
  $MaliciousIP = "108.165.147.64"
  $Port = 443
  
  Write-Host "[+] Iniciando Simulação: Tentando conexão com $MaliciousIP na porta $Port" -ForegroundColor Cyan
  
  try {
      # Use um método .NET padrão para iniciar uma conexão TCP, 
      # simulando um processo fazendo uma chamada de rede.
      $TcpClient = New-Object System.Net.Sockets.TcpClient
      $Connect = $TcpClient.BeginConnect($MaliciousIP, $Port, $null, $null)
  
      # Aguarde por um curto período para simular a tentativa
      $Wait = $Connect.AsyncWaitHandle.WaitOne(2000, $false)
  
      if ($Wait) {
          Write-Host "[!] Conexão Bem-Sucedida/Tentada: A telemetria agora deve ser visível no SIEM." -ForegroundColor Green
      } else {
          Write-Host "[?] Conexão Expirada: Isso é esperado se o IP não for acessível, mas a telemetria ainda deve ser gerada." -ForegroundColor Yellow
      }
      $TcpClient.Close()
  }
  catch {
      Write-Host "[!] Erro durante a simulação: $($_.Exception.Message)" -ForegroundColor Red
  }
  
  Write-Host "[+] Simulação Completa." -ForegroundColor Cyan

• Comandos de Limpeza:

  # Nenhum artefato persistente é criado por esta simulação somente de rede.
  # Apenas garanta que quaisquer processos de teste sejam terminados.
  Get-Process | Where-Object { $_.ProcessName -like "*powershell*" } | Stop-Process -Force -ErrorAction SilentlyContinue