CVE-2026-111357 및 CVE-2026-118527: Ivanti 제로데이 취약점의 실전 악용 사례

요약

위협 행위자 UTA0576이 Ivanti Connect Secure (ICS) 장비의 일련의 취약점을 악용하여 인증되지 않은 루트 접근을 달성하고 있습니다. 공격 체인은 인증 우회 (CVE-2026-104935), 권한 상승 (CVE-2026-111357), 원격 파일 업로드 (CVE-2026-118527)를 포함합니다. 이러한 취약점들은 기업 VPN 솔루션에 대해 활발히 악용되고 있습니다.

조사

Volexity의 조사는 UTA0576이 Ivanti 장비에서 버전 22.8R2.4로 실행되는 루트 접근을 얻기 위해 익스플로잇 체인을 사용하고 있음을 확인했습니다. 이 조사는 Windows LAPS 비밀번호와 BitLocker 복구 키를 대상으로 하는 Active Directory 쿼리와 자격 증명 도난의 증거를 발견했습니다. 조사관들은 이 활동이 Ivanti의 무결성 검사 도구를 회피하도록 설계되었음을 또한 확인했습니다.

완화

Ivanti는 확인된 취약점들에 대한 수정 사항을 발표했으며, 사용자들은 가능한 빨리 버전 22.8R2.6 이상으로 업그레이드해야 합니다. 즉시 이전할 수 없는 경우, 22.8R2.6 업데이트를 적용하는 것이 권장되는 경로입니다. 사용자들은 22.8.X 버전에서 지원되는 버전으로 이동할 것을 조언받고 있습니다.

대응

손상 의심 시, 조직은 Ivanti의 공식 복구 절차를 따르고 잠재적으로 노출된 모든 자격 증명을 회전해야 합니다. 장비를 재부팅하거나 재설정하기 전에 메모리와 로그를 보존하는 것이 중요합니다. 조직은 또한 감사 로그에서 선택적인 로그 삭제의 증거를 조사해야 합니다.

시뮬레이션 실행

• 공격 내러티브 & 명령: Ivanti Connect Secure 취약점을 성공적으로 악용하여 초기 접근을 달성한 후, 적대자는 지속가능한 C2 채널을 구축하려 합니다. 파일 이름 기반 서명을 통해 탐지를 회피하기 위해, 공격자는 하이재크된 실행 흐름(T1574.001)을 사용하여 악성 페이로드를 실행합니다. 이 페이로드는 IP 108.165.147.64 로 귀환 통신을 구성하여 추가 지시를 받고 도난된 자격 증명을 탈출합니다. 이 동작은 플래그된 IP에 대한 네트워크 연결 이벤트를 생성하여 Sigma 규칙을 트리거할 것입니다.

• 회귀 테스트 스크립트:

  # UTA0576 C2 통신 시뮬레이션
  # 이 스크립트는 악성 IP에 접근하는 손상된 프로세스를 모방합니다
  
  $MaliciousIP = "108.165.147.64"
  $Port = 443
  
  Write-Host "[+] 시뮬레이션 시작: 포트 $Port에서 $MaliciousIP로의 연결 시도" -ForegroundColor Cyan
  
  try {
      # 표준 .NET 메서드를 사용하여 TCP 연결을 시작하여, 프로세스가 네트워크 호출을 하는 것을 시뮬레이션합니다.
      $TcpClient = New-Object System.Net.Sockets.TcpClient
      $Connect = $TcpClient.BeginConnect($MaliciousIP, $Port, $null, $null)
  
      # 시도 시간을 시뮬레이션하기 위해 짧은 기간 대기
      $Wait = $Connect.AsyncWaitHandle.WaitOne(2000, $false)
  
      if ($Wait) {
          Write-Host "[!] 연결 성공/시도됨: SIEM에 이제 텔레메트리가 표시되어야 합니다." -ForegroundColor Green
      } else {
          Write-Host "[?] 연결 시간 초과: IP에 접근이 불가능한 경우 예상되는 현상이지만, 여전히 텔레메트리가 생성되어야 합니다." -ForegroundColor Yellow
      }
      $TcpClient.Close()
  }
  catch {
      Write-Host "[!] 시뮬레이션 중 오류: $($_.Exception.Message)" -ForegroundColor Red
  }
  
  Write-Host "[+] 시뮬레이션 완료." -ForegroundColor Cyan

• 정리 명령:

  # 이 네트워크 전용 시뮬레이션에서는 영구 아티팩트가 생성되지 않습니다.
  # 단순히 모든 테스트 프로세스가 종료되었는지 확인하십시오.
  Get-Process | Where-Object { $_.ProcessName -like "*powershell*" } | Stop-Process -Force -ErrorAction SilentlyContinue