Zerodniowe luki w Ivanti Connect Secure wykorzystywane do nieautoryzowanego przejęcia

Podsumowanie

Nieznany podmiot zagrożeń śledzony jako UTA0576 wykorzystał łańcuch luk typu zero-day w urządzeniach Ivanti Connect Secure VPN, aby osiągnąć nieautoryzowane wykonanie kodu na poziomie administratora. Atak łączył obejście autoryzacji, zdalne wykonanie kodu poprzez warunek wyścigu i eskalację uprawnień. Podmiot skupiał się głównie na kradzieży poświadczeń dotyczących Active Directory, LAPS i kluczy odzyskiwania BitLocker.

Śledztwo

Volexity zidentyfikowało kompromis poprzez monitorowanie bezpieczeństwa sieci i przeprowadziło śledztwo kryminalistyczne przy użyciu obrazowania pamięci i dysków. Ponieważ atakujący polegał na patchowaniu w pamięci i usuwaniu dzienników, badacze użyli platformy Volcano do rekonstrukcji łańcucha exploitów z zrzutów rdzenia i pamięci systemowej. Śledztwo również wykazało, że żądania HTTPS były używane jako kanał poleceń zamiast tradycyjnej infrastruktury C2.

Zmniejszanie ryzyka

Organizacje powinny natychmiast zastosować łatki Ivanti rozwiązywające problemy z obejściem autoryzacji i podatnościami RCE. Zespoły ds. bezpieczeństwa powinny monitorować pod kątem nietypowej liczby X-DSCGI-PATH nagłówków i dużej ilości żądań do /dana-na/auth/url_default/welcome.cgi. Zalecane jest również uruchomienie Ivanti Integrity Checker i aktualizacja dotkniętych urządzeń do narażonych wersji.

Reakcja

Gdy wykryte zostaną podejrzane działania, organizacje powinny przeprowadzić śledztwo kryminalistyczne dotyczące urządzeń ICS VPN, zwracając szczególną uwagę na dowody ruchów lateralnych. Analiza pamięci jest wysoce zalecana, ponieważ duża część łańcucha exploitów działa w pamięci i pozostawia ograniczone artefakty na dysku. Przejrzyj katalog /tmp/ pod kątem nieautoryzowanych skryptów oraz sprawdź dzienniki audytu pod kątem oznak manipulacji.

Wykonanie symulacji

• Narracja ataku i polecenia: Przeciwnik dąży do wykorzystania luki w Ivanti Connect Secure poprzez symulację dostępu do znanego złośliwego poziomu CGI używanego w łańcuchu exploitów. Po uzyskaniu dostępu do ścieżki /home/webserver/htdocs/dana/fb/smb/wu.cgi, atakujący próbuje umieścić powłokę internetową lub zestaw narzędzi eksploatacyjnych, zapisując plik do konkretnego katalogu /home/runtime/tmp/. To naśladuje nieautoryzowane zdalne wykonanie kodu i późniejszą manipulację plikami obserwowane podczas rzeczywistego wykorzystania dnia zerowego.

• Skrypt testowy regresji:

  #!/bin/bash
  # Skrypt symulacji do wykrycia eksploatacji w Ivanti Connect Secure
  
  # 1. Konfiguracja: Utwórz strukturę katalogów wymaganą do symulacji
  echo "[+] Konfiguracja środowiska symulacyjnego..."
  sudo mkdir -p /home/webserver/htdocs/dana/fb/smb/
  sudo mkdir -p /home/runtime/tmp/
  
  # 2. Utwórz "złośliwy" plik CGI
  echo "[+] Tworzenie złośliwego pliku CGI..."
  sudo touch /home/webserver/htdocs/dana/fb/smb/wu.cgi
  sudo chmod 777 /home/webserver/htdocs/dana/fb/smb/wu.cgi
  
  # 3. Symuluj eksploatację: Dostęp do pliku (wyzwala selection_paths)
  echo "[+] Symulacja dostępu do złośliwej ścieżki CGI..."
  cat /home/webserver/htdocs/dana/fb/smb/wu.cgi > /dev/null
  
  # 4. Symuluj umieszczenie ładunku (wyzwala selection_tmp)
  echo "[+] Symulacja umieszczenia ładunku w /home/runtime/tmp/..."
  echo "<?php system($_GET['cmd']); ?>" | sudo tee /home/runtime/tmp/shell.php > /dev/null
  
  echo "[+] Symulacja zakończona. Sprawdź SIEM, aby otrzymać alerty."

• Polecenia czyszczenia:

  #!/bin/bash
  # Skrypt do czyszczenia artefaktów symulacji
  
  echo "[+] Czyszczenie artefaktów symulacji..."
  sudo rm -f /home/webserver/htdocs/dana/fb/smb/wu.cgi
  sudo rm -f /home/runtime/tmp/shell.php
  sudo rmdir /home/webserver/htdocs/dana/fb/smb/ 2>/dev/null
  sudo rmdir /home/webserver/htdocs/dana/fb/ 2>/dev/null
  sudo rmdir /home/webserver/htdocs/dana/ 2>/dev/null
  sudo rmdir /home/webserver/htdocs/ 2>/dev/null
  sudo rmdir /home/webserver/ 2>/dev/null
  sudo rmdir /home/runtime/tmp/ 2>/dev/null
  sudo rmdir /home/runtime/ 2>/dev/null
  
  echo "[+] Czyszczenie zakończone."