CVE-2026-111357 e CVE-2026-118527: Zero-Day di Ivanti sfruttate in the wild

Sommario

L’attore della minaccia UTA0576 sta sfruttando una catena di vulnerabilità negli apparecchi Ivanti Connect Secure (ICS) per ottenere l’accesso root non autenticato. La catena d’attacco coinvolge un bypass dell’autenticazione (CVE-2026-104935), un’escalation dei privilegi (CVE-2026-111357) e un caricamento remoto di file (CVE-2026-118527). Queste vulnerabilità sono attivamente sfruttate in natura contro le soluzioni VPN aziendali.

Indagine

L’indagine di Volexity ha identificato UTA0576 utilizzando una catena di exploit per ottenere l’accesso root sugli apparecchi Ivanti che eseguono la versione 22.8R2.4. L’indagine ha scoperto prove di furto di credenziali e interrogazioni Active Directory che mirano alle password di Windows LAPS e alle chiavi di ripristino BitLocker. Gli investigatori hanno anche notato che l’attività era progettata per eludere lo strumento di controllo dell’integrità di Ivanti.

Mitigazione

Ivanti ha rilasciato fix per le vulnerabilità identificate; gli utenti dovrebbero aggiornare alla versione 22.8R2.6 o successiva il prima possibile. Per coloro che non possono migrare immediatamente, applicare l’aggiornamento 22.8R2.6 è il percorso consigliato. Si consiglia agli utenti di spostarsi dal ramo 22.8.X a una versione supportata.

Risposta

Se si sospetta una compromissione, le organizzazioni dovrebbero seguire le procedure formali di recupero di Ivanti e ruotare tutte le credenziali potenzialmente esposte. È fondamentale preservare la memoria e i log prima di riavviare o resettare l’apparecchio. Le organizzazioni dovrebbero anche investigare alla ricerca di prove di cancellazione selettiva dei log nei log di audit.

Esecuzione della Simulazione

• Narrazzione dell’Attacco & Comandi: Dopo aver sfruttato con successo una vulnerabilità di Ivanti Connect Secure per ottenere l’accesso iniziale, l’avversario mira a stabilire un canale C2 persistente. Per evitare il rilevamento dalle firme basate sui nomi dei file, l’attaccante utilizza un flusso di esecuzione dirottato (T1574.001) per eseguire un payload dannoso. Il payload è configurato per “telefonare a casa” all’infrastruttura UTA0576 all’IP 108.165.147.64 per ricevere ulteriori istruzioni ed esfiltrare le credenziali rubate. Questa azione attiverà la regola Sigma generando un evento di connessione di rete verso l’IP segnalato.

• Script di Test di Regresso:

  # Simulazione della Comunicazione del C2 di UTA0576
  # Questo script imita un processo compromesso che si connette all'IP dannoso
  
  $MaliciousIP = "108.165.147.64"
  $Port = 443
  
  Write-Host "[+] Inizio Simulazione: Connessione al $MaliciousIP sulla porta $Port" -ForegroundColor Cyan
  
  try {
      # Usa un metodo .NET standard per avviare una connessione TCP, 
      # simulando un processo che effettua una chiamata di rete.
      $TcpClient = New-Object System.Net.Sockets.TcpClient
      $Connect = $TcpClient.BeginConnect($MaliciousIP, $Port, $null, $null)
  
      # Attendi per un breve periodo per simulare il tentativo
      $Wait = $Connect.AsyncWaitHandle.WaitOne(2000, $false)
  
      if ($Wait) {
          Write-Host "[!] Connessione Riuscita/Tentata: La telemetria dovrebbe ora essere visibile nel SIEM." -ForegroundColor Green
      } else {
          Write-Host "[?] Connessione Scaduta: Questo è previsto se l'IP non è raggiungibile, ma la telemetria dovrebbe comunque essere generata." -ForegroundColor Yellow
      }
      $TcpClient.Close()
  }
  catch {
      Write-Host "[!] Errore durante la simulazione: $($_.Exception.Message)" -ForegroundColor Red
  }
  
  Write-Host "[+] Simulazione Completa." -ForegroundColor Cyan

• Comandi di Pulizia:

  # Non vengono creati artefatti persistenti da questa simulazione solo di rete.
  # Assicurati semplicemente che i processi di test siano terminati.
  Get-Process | Where-Object { $_.ProcessName -like "*powershell*" } | Stop-Process -Force -ErrorAction SilentlyContinue