Zero-days di Ivanti Connect Secure concatenati per compromissione non autenticata

Riassunto

Un attore di minacce sconosciuto tracciato come UTA0576 ha sfruttato una catena di vulnerabilità zero-day nei dispositivi Ivanti Connect Secure VPN per ottenere l’esecuzione di codice a livello root senza autenticazione. L’attacco ha combinato un bypass dell’autenticazione, l’esecuzione di codice remoto tramite una condizione di gara, e l’elevazione di privilegi. L’attore si è concentrato principalmente sul furto di credenziali coinvolgendo Active Directory, LAPS e chiavi di recupero di BitLocker.

Indagine

Volexity ha identificato la compromissione attraverso il monitoraggio della sicurezza di rete e ha condotto un’indagine forense utilizzando l’immagine di memoria e disco. Poiché l’attaccante si basava su patching in memoria e log cancellati, i ricercatori hanno usato la piattaforma Volcano per ricostruire la catena di exploit dai dump di core e dalla memoria di sistema. L’indagine ha anche dimostrato che le richieste HTTPS sono state utilizzate come canale di comando al posto di un’infrastruttura C2 tradizionale.

Mitigazione

Le organizzazioni dovrebbero applicare immediatamente le patch di Ivanti che risolvono il bypass dell’autenticazione e le vulnerabilità RCE. I team di sicurezza dovrebbero monitorare per attività insolita X-DSCGI-PATH intestazioni e volumi elevati di richieste a /dana-na/auth/url_default/welcome.cgi. È fortemente raccomandato eseguire il controllo di integrità di Ivanti e aggiornare i dispositivi affetti a versioni non vulnerabili.

Risposta

Quando viene rilevata attività sospetta, le organizzazioni dovrebbero condurre indagini forensi dei dispositivi VPN ICS, prestando particolare attenzione alle prove di movimento laterale. La forense della memoria è altamente raccomandata poiché gran parte della catena di exploit opera in memoria e lascia pochi artefatti su disco. Esaminare la /tmp/ directory per script non autorizzati e controllare i log di audit per segni di manomissione.

Esecuzione di Simulazione

• Narrativa dell’Attacco & Comandi: L’avversario mira a sfruttare la vulnerabilità di Ivanti Connect Secure simulando l’accesso a un noto endpoint CGI malevolo utilizzato nella catena di exploit. Dopo aver accesso al percorso /home/webserver/htdocs/dana/fb/smb/wu.cgi, l’attaccante tenta di stabilire una web shell o un toolkit post-sfruttamento scrivendo un file nella directory specifica /home/runtime/tmp/. Questo imita l’esecuzione di codice remoto non autenticato e la successiva manipolazione di file osservati nello sfruttamento reale dello zero-day.

• Script di Test di Regressione:

  #!/bin/bash
  # Script di simulazione per il rilevamento degli exploit di Ivanti Connect Secure
  
  # 1. Configurazione: Creare la struttura di directory necessaria per la simulazione
  echo "[+] Configurazione dell'ambiente di simulazione..."
  sudo mkdir -p /home/webserver/htdocs/dana/fb/smb/
  sudo mkdir -p /home/runtime/tmp/
  
  # 2. Creare il file CGI "malevolo"
  echo "[+] Creazione del file CGI malevolo..."
  sudo touch /home/webserver/htdocs/dana/fb/smb/wu.cgi
  sudo chmod 777 /home/webserver/htdocs/dana/fb/smb/wu.cgi
  
  # 3. Simulare lo sfruttamento: Accesso al file (attiva selection_paths)
  echo "[+] Simulazione dell'accesso al percorso CGI malevolo..."
  cat /home/webserver/htdocs/dana/fb/smb/wu.cgi > /dev/null
  
  # 4. Simulare il payload staging (attiva selection_tmp)
  echo "[+] Simulazione del drop del payload in /home/runtime/tmp/..."
  echo "<?php system($_GET['cmd']); ?>" | sudo tee /home/runtime/tmp/shell.php > /dev/null
  
  echo "[+] Simulazione completata. Controllare SIEM per avvisi."

• Comandi di Pulizia:

  #!/bin/bash
  # Script di pulizia per rimuovere gli artefatti della simulazione
  
  echo "[+] Pulizia degli artefatti della simulazione..."
  sudo rm -f /home/webserver/htdocs/dana/fb/smb/wu.cgi
  sudo rm -f /home/runtime/tmp/shell.php
  sudo rmdir /home/webserver/htdocs/dana/fb/smb/ 2>/dev/null
  sudo rmdir /home/webserver/htdocs/dana/fb/ 2>/dev/null
  sudo rmdir /home/webserver/htdocs/dana/ 2>/dev/null
  sudo rmdir /home/webserver/htdocs/ 2>/dev/null
  sudo rmdir /home/webserver/ 2>/dev/null
  sudo rmdir /home/runtime/tmp/ 2>/dev/null
  sudo rmdir /home/runtime/ 2>/dev/null
  
  echo "[+] Pulizia terminata."