CVE-2026-111357 und CVE-2026-118527: Ivanti Zero-Days werden in freier Wildbahn ausgenutzt

Zusammenfassung

Der Bedrohungsakteur UTA0576 nutzt eine Kette von Schwachstellen in Ivanti Connect Secure (ICS)-Geräten aus, um sich unauthentifizierten Root-Zugang zu verschaffen. Die Angriffskette umfasst eine Authentifizierungsumgehung (CVE-2026-104935), Privilegieneskalation (CVE-2026-111357) und entfernten Dateiupload (CVE-2026-118527). Diese Schwachstellen werden aktiv in der Wildnis gegen Unternehmens-VPN-Lösungen ausgenutzt.

Untersuchung

Die Untersuchung von Volexity ergab, dass UTA0576 eine Exploit-Kette verwendet, um Root-Zugang auf Ivanti-Geräten mit der Version 22.8R2.4 zu erhalten. Die Untersuchung deckte Hinweise auf Credential-Diebstahl und Active Directory-Anfragen auf, die sich gegen Windows LAPS-Passwörter und BitLocker-Wiederherstellungsschlüssel richteten. Die Ermittler stellten außerdem fest, dass die Aktivität darauf ausgelegt war, das Ivanti-Integritätsprüfungs-Tool zu umgehen.

Abmilderung

Ivanti hat Patches für die festgestellten Schwachstellen veröffentlicht; Benutzer sollten so schnell wie möglich auf Version 22.8R2.6 oder höher upgraden. Für diejenigen, die nicht sofort migrieren können, ist das Anwenden des Updates 22.8R2.6 der empfohlene Weg. Benutzern wird geraten, von der 22.8.X-Reihe auf eine unterstützte Version zu wechseln.

Reaktion

Sollte ein Kompromiss vermutet werden, sollten Organisationen den formellen Wiederherstellungsverfahren von Ivanti folgen und alle potenziell offengelegten Anmeldeinformationen rotieren. Es ist entscheidend, den Speicher und die Protokolle zu bewahren, bevor man das Gerät neu startet oder zurücksetzt. Organisationen sollten auch nach Beweisen für selektive Protokolllöschung in Prüfprotokollen suchen.

Simulation Ausführung

• Angriffserzählung & Befehle: Nach erfolgreicher Ausnutzung einer Schwachstelle in Ivanti Connect Secure, um anfänglichen Zugriff zu erreichen, zielt der Angreifer darauf ab, einen persistierenden C2-Kanal zu etablieren. Um eine Erkennung durch dateinamensbasierte Signaturen zu vermeiden, verwendet der Angreifer einen gekaperten Ausführungsablauf (T1574.001), um eine bösartige Nutzlast auszuführen. Die Nutzlast ist konfiguriert, um an die UTA0576-Infrastruktur unter der IP 108.165.147.64 zurückzumelden, um weitere Anweisungen zu erhalten und gestohlene Anmeldedaten zu exfiltrieren. Diese Aktion löst die Sigma-Regel aus, indem ein Netzwerkverbindungsereignis zur markierten IP generiert wird.

• Regressionstest-Skript:

  # Simulation der UTA0576 C2-Kommunikation
  # Dieses Skript ahmt einen kompromittierten Prozess nach, der zur bösartigen IP kommuniziert
  
  $MaliciousIP = "108.165.147.64"
  $Port = 443
  
  Write-Host "[+] Starte Simulation: Verbindung zu $MaliciousIP auf Port $Port wird versucht" -ForegroundColor Cyan
  
  try {
      # Verwenden Sie eine Standard-.NET-Methode, um eine TCP-Verbindung zu initiieren,
      # und ahmen Sie einen Prozess nach, der einen Netzwerkaufruf tätigt.
      $TcpClient = New-Object System.Net.Sockets.TcpClient
      $Connect = $TcpClient.BeginConnect($MaliciousIP, $Port, $null, $null)
  
      # Warten Sie eine kurze Zeit, um den Versuch zu simulieren
      $Wait = $Connect.AsyncWaitHandle.WaitOne(2000, $false)
  
      if ($Wait) {
          Write-Host "[!] Verbindung erfolgreich/versucht: Telemetrie sollte jetzt im SIEM sichtbar sein." -ForegroundColor Green
      } else {
          Write-Host "[?] Verbindung zeitüberschritten: Dies ist zu erwarten, falls die IP nicht erreichbar ist, aber Telemetrie sollte dennoch generiert werden." -ForegroundColor Yellow
      }
      $TcpClient.Close()
  }
  catch {
      Write-Host "[!] Fehler während der Simulation: $($_.Exception.Message)" -ForegroundColor Red
  }
  
  Write-Host "[+] Simulation abgeschlossen." -ForegroundColor Cyan

• Säuberungsbefehle:

  # Durch diese Netzwerksimulierung werden keine persistierenden Artefakte erstellt.
  # Stellen Sie einfach sicher, dass alle Testprozesse beendet werden.
  Get-Process | Where-Object { $_.ProcessName -like "*powershell*" } | Stop-Process -Force -ErrorAction SilentlyContinue