CVE-2026-111357 y CVE-2026-118527: Zero-Days de Ivanti Explotados en el Entorno

Resumen

El actor de amenazas UTA0576 está explotando una cadena de vulnerabilidades en los dispositivos Ivanti Connect Secure (ICS) para lograr acceso root no autenticado. La cadena de ataque implica un bypass de autenticación (CVE-2026-104935), escalada de privilegios (CVE-2026-111357) y carga de archivos remota (CVE-2026-118527). Estas vulnerabilidades están siendo explotadas activamente en el entorno contra soluciones VPN empresariales.

Investigación

La investigación de Volexity identificó que UTA0576 utilizaba una cadena de explotación para obtener acceso root en dispositivos Ivanti que ejecutaban la versión 22.8R2.4. La investigación descubrió evidencia de robo de credenciales y consultas de Active Directory dirigidas a contraseñas de Windows LAPS y claves de recuperación de BitLocker. Los investigadores también notaron que la actividad estaba diseñada para evadir la herramienta de verificación de integridad de Ivanti.

Mitigación

Ivanti ha lanzado correcciones para las vulnerabilidades identificadas; los usuarios deben actualizar a la versión 22.8R2.6 o posterior lo antes posible. Para aquellos que no puedan migrar de inmediato, aplicar la actualización 22.8R2.6 es el camino recomendado. Se aconseja a los usuarios pasar de la rama 22.8.X a una versión compatible.

Respuesta

Si se sospecha de un compromiso, las organizaciones deben seguir los procedimientos de recuperación formal de Ivanti y rotar todas las credenciales potencialmente expuestas. Es crítico preservar la memoria y los registros antes de reiniciar o restablecer el dispositivo. Las organizaciones también deben investigar si hay evidencia de eliminación selectiva de registros en los registros de auditoría.

Ejecución de Simulación

• Narrativa del Ataque & Comandos: Después de explotar exitosamente una vulnerabilidad de Ivanti Connect Secure para lograr el acceso inicial, el adversario pretende establecer un canal C2 persistente. Para evitar la detección por firmas basadas en nombres de archivos, el atacante utiliza un flujo de ejecución secuestrado (T1574.001) para ejecutar una carga útil maliciosa. La carga útil está configurada para «llamar a casa» a la infraestructura de UTA0576 en IP 108.165.147.64 para recibir más instrucciones y exfiltrar credenciales robadas. Esta acción activará la regla Sigma generando un evento de conexión de red a la IP señalada.

• Script de Prueba de Regresión:

  # Simulación de Comunicación C2 de UTA0576
  # Este script imita un proceso comprometido que se comunica con la IP maliciosa
  
  $MaliciousIP = "108.165.147.64"
  $Port = 443
  
  Write-Host "[+] Iniciando Simulación: Intentando conexión a $MaliciousIP en el puerto $Port" -ForegroundColor Cyan
  
  try {
      # Use un método estándar de .NET para iniciar una conexión TCP, 
      # simulando un proceso realizando una llamada de red.
      $TcpClient = New-Object System.Net.Sockets.TcpClient
      $Connect = $TcpClient.BeginConnect($MaliciousIP, $Port, $null, $null)
  
      # Espere una corta duración para simular el intento
      $Wait = $Connect.AsyncWaitHandle.WaitOne(2000, $false)
  
      if ($Wait) {
          Write-Host "[!] Conexión Exitosa/Intentada: La telemetría debería ser visible ahora en SIEM." -ForegroundColor Green
      } else {
          Write-Host "[?] Conexión Fuera de Tiempo: Esto es esperado si la IP no es accesible, pero la telemetría aún debería generarse." -ForegroundColor Yellow
      }
      $TcpClient.Close()
  }
  catch {
      Write-Host "[!] Error durante la simulación: $($_.Exception.Message)" -ForegroundColor Red
  }
  
  Write-Host "[+] Simulación Completa." -ForegroundColor Cyan

• Comandos de Limpieza:

  # No se crean artefactos persistentes por esta simulación solo de red.
  # Simplemente asegúrese de que cualquier proceso de prueba esté terminado.
  Get-Process | Where-Object { $_.ProcessName -like "*powershell*" } | Stop-Process -Force -ErrorAction SilentlyContinue