CVE-2026-111357 i CVE-2026-118527: Luki Zero-Day w Produktach Ivanti Eksploatowane w Dziczy

Podsumowanie

Aktor zagrożenia UTA0576 wykorzystuje ciąg podatności w urządzeniach Ivanti Connect Secure (ICS) w celu uzyskania nieautoryzowanego dostępu do roota. Łańcuch ataku obejmuje obejście uwierzytelnienia (CVE-2026-104935), eskalację uprawnień (CVE-2026-111357) i zdalne przesyłanie plików (CVE-2026-118527). Te podatności są aktywnie wykorzystywane na wolności przeciwko rozwiązaniom VPN dla przedsiębiorstw.

Śledztwo

Śledztwo Volexity zidentyfikowało UTA0576 używającego łańcucha exploitów do uzyskania dostępu roota na urządzeniach Ivanti działających na wersji 22.8R2.4. Śledztwo ujawniło dowody na kradzież danych uwierzytelniających oraz zapytania do Active Directory skierowane na hasła Windows LAPS i klucze odzyskiwania BitLocker. Śledczy zauważyli również, że działania były zaprojektowane, aby ominąć narzędzie sprawdzania integralności Ivanti.

Łagodzenie

Ivanti wydało poprawki dla zidentyfikowanych podatności; użytkownicy powinni jak najszybciej zaktualizować do wersji 22.8R2.6 lub późniejszej. Dla tych, którzy nie mogą migrować natychmiast, zalecanym krokiem jest zastosowanie aktualizacji 22.8R2.6. Użytkownikom zaleca się przejście z gałęzi 22.8.X do wersji wspieranej.

Reakcja

W przypadku podejrzenia naruszenia, organizacje powinny postępować zgodnie z formalnymi procedurami odzyskiwania firmy Ivanti i zmieniać wszystkie potencjalnie narażone poświadczenia. Ważne jest, aby zachować pamięć i logi przed ponownym uruchomieniem lub zresetowaniem urządzenia. Organizacje powinny również sprawdzić dowody usunięcia wybranych logów w logach audytowych.

Wykonywanie symulacji

• Narracja Ataku i Polecenia: Po pomyślnym wykorzystaniu podatności Ivanti Connect Secure do uzyskania początkowego dostępu, przeciwnik stara się ustanowić trwały kanał C2. Aby uniknąć wykrycia przez sygnatury oparte na nazwie pliku, atakujący używa przejętego przepływu wykonania (T1574.001) do uruchomienia złośliwego ładunku. Ładunek jest skonfigurowany do połączenia ze strukturą UTA0576 pod adresem IP 108.165.147.64 w celu otrzymania dalszych instrukcji i wyexfiltrowania skradzionych poświadczeń. Ta akcja wywoła regułę Sigma, generując zdarzenie połączenia sieciowego do zaznaczonego IP.

• Skrypt Testu regresji:

  # Symulacja komunikacji C2 UTA0576
  # Ten skrypt naśladuje proces skompromitowany łączący się z złośliwym IP
  
  $MaliciousIP = "108.165.147.64"
  $Port = 443
  
  Write-Host "[+] Rozpoczęcie symulacji: Próba połączenia z $MaliciousIP na porcie $Port" -ForegroundColor Cyan
  
  try {
      # Użyj standardowej metody .NET, aby zainicjować połączenie TCP,
      # symulując proces wykonywania wywołania sieciowego.
      $TcpClient = New-Object System.Net.Sockets.TcpClient
      $Connect = $TcpClient.BeginConnect($MaliciousIP, $Port, $null, $null)
  
      # Odczekaj krótki czas, aby zasymulować próbę
      $Wait = $Connect.AsyncWaitHandle.WaitOne(2000, $false)
  
      if ($Wait) {
          Write-Host "[!] Połączenie udane/próbowane: Telemetria powinna być teraz widoczna w SIEM." -ForegroundColor Green
      } else {
          Write-Host "[?] Czas połączenia minął: Jest to oczekiwane, jeśli IP jest niedostępne, ale telemetria powinna nadal być generowana." -ForegroundColor Yellow
      }
      $TcpClient.Close()
  }
  catch {
      Write-Host "[!] Błąd podczas symulacji: $($_.Exception.Message)" -ForegroundColor Red
  }
  
  Write-Host "[+] Symulacja zakończona." -ForegroundColor Cyan

• Polecenia czyszczenia:

  # Tej symulacji wyłącznie sieciowej nie pozostawiają trwałych śladów.
  # Po prostu upewnij się, że procesy testowe są zakończone.
  Get-Process | Where-Object { $_.ProcessName -like "*powershell*" } | Stop-Process -Force -ErrorAction SilentlyContinue