Ivanti Connect Secure Zero-Day-Schwachstellen für unautorisierte Kompromittierung verkettet

Zusammenfassung

Ein unbekannter Bedrohungsakteur, verfolgt als UTA0576, nutzte eine Kette von Zero-Day-Schwachstellen in Ivanti Connect Secure VPN-Appliances aus, um eine nicht authentifizierte Codeausführung auf Root-Ebene zu erreichen. Der Angriff kombinierte eine Authentifizierungsumgehung, Remotecodeausführung durch eine Race Condition und Privilegieneskalation. Der Akteur konzentrierte sich hauptsächlich auf den Diebstahl von Anmeldedaten, der Active Directory, LAPS und BitLocker-Wiederherstellungsschlüssel betraf.

Untersuchung

Volexity identifizierte die Kompromittierung durch Netzwerküberwachung und führte eine forensische Untersuchung unter Verwendung von Speicher- und Laufwerksabbildern durch. Da der Angreifer sich auf In-Memory-Patchings und gelöschte Protokolle stützte, nutzten Forscher die Volcano-Plattform, um die Exploit-Kette aus Core Dumps und Systemspeicher zu rekonstruieren. Die Untersuchung zeigte auch, dass HTTPS-Anfragen als Befehlskanal anstelle der traditionellen C2-Infrastruktur genutzt wurden.

Abschwächung

Unternehmen sollten umgehend die Ivanti-Patches anwenden, die die Authentifizierungsumgehung und RCE-Schwachstellen beheben. Sicherheitsteams sollten auf ungewöhnliche X-DSCGI-PATH Header und hohe Anfragevolumen zu /dana-na/auth/url_default/welcome.cgiüberwachen. Der Einsatz des Ivanti Integrity Checkers und die Aktualisierung der betroffenen Appliances auf nicht anfällige Versionen wird ebenfalls dringend empfohlen.

Reaktion

Bei Verdacht auf verdächtige Aktivitäten sollten Unternehmen forensische Untersuchungen der ICS VPN-Appliances durchführen, wobei besonderes Augenmerk auf Beweise für laterale Bewegungen gelegt werden sollte. Speicherforensik wird dringend empfohlen, da ein Großteil der Exploit-Kette im Speicher abläuft und nur wenige Artefakte auf dem Datenträger hinterlässt. Untersuchen Sie das /tmp/ Verzeichnis auf unerlaubte Skripte und überprüfen Sie die Audit-Logs auf Anzeichen von Manipulationen.

Simulation Execution

• Angriffserzählung & Befehle: Der Gegner zielt darauf ab, die Schwachstelle in Ivanti Connect Secure auszunutzen, indem er den Zugriff auf einen bekannten bösartigen CGI-Endpunkt simuliert, der in der Exploit-Kette verwendet wird. Nachdem der Pfad /home/webserver/htdocs/dana/fb/smb/wu.cgiaufgerufen wurde, versucht der Angreifer, einen Web-Shell oder ein Post-Exploitation-Toolkit zu stagen, indem er eine Datei in das spezifische Verzeichnis schreibt /home/runtime/tmp/. Dies imitiert die nicht authentifizierte Remotecodeausführung und die anschließende Dateimanipulation, wie sie bei der realen Zero-Day-Ausnutzung beobachtet wurde.

• Regressionstest-Skript:

  #!/bin/bash
  # Simulationsskript zur Erkennung des Ivanti Connect Secure Exploits
  
  # 1. Einrichtung: Erstellen Sie die erforderliche Verzeichnisstruktur für die Simulation
  echo "[+] Simulationsumgebung wird eingerichtet..."
  sudo mkdir -p /home/webserver/htdocs/dana/fb/smb/
  sudo mkdir -p /home/runtime/tmp/
  
  # 2. Erstellen der "bösartigen" CGI-Datei
  echo "[+] Bösartige CGI-Datei wird erstellt..."
  sudo touch /home/webserver/htdocs/dana/fb/smb/wu.cgi
  sudo chmod 777 /home/webserver/htdocs/dana/fb/smb/wu.cgi
  
  # 3. Simulate the exploitation: Zugriff auf die Datei (löst selection_paths aus)
  echo "[+] Zugriff auf bösartigen CGI-Pfad wird simuliert..."
  cat /home/webserver/htdocs/dana/fb/smb/wu.cgi > /dev/null
  
  # 4. Simulate payload staging (löst selection_tmp aus)
  echo "[+] Payload wird in /home/runtime/tmp/ abgelegt..."
  echo "<?php system($_GET['cmd']); ?>" | sudo tee /home/runtime/tmp/shell.php > /dev/null
  
  echo "[+] Simulation abgeschlossen. Überprüfen Sie SIEM auf Warnungen."

• Bereinigungskommandos:

  #!/bin/bash
  # Bereinigungsskript zum Entfernen von Simulationsartefakten
  
  echo "[+] Simulationsartefakte werden bereinigt..."
  sudo rm -f /home/webserver/htdocs/dana/fb/smb/wu.cgi
  sudo rm -f /home/runtime/tmp/shell.php
  sudo rmdir /home/webserver/htdocs/dana/fb/smb/ 2>/dev/null
  sudo rmdir /home/webserver/htdocs/dana/fb/ 2>/dev/null
  sudo rmdir /home/webserver/htdocs/dana/ 2>/dev/null
  sudo rmdir /home/webserver/htdocs/ 2>/dev/null
  sudo rmdir /home/webserver/ 2>/dev/null
  sudo rmdir /home/runtime/tmp/ 2>/dev/null
  sudo rmdir /home/runtime/ 2>/dev/null
  
  echo "[+] Bereinigung abgeschlossen."