CVE-2026-104935: Ivanti Connect Secure Zero-Day використовується у ланцюгових атаках

Резюме

Актор загрози з індексом UTA0576 скористався ланцюгом із трьох вразливостей у пристроях Ivanti Connect Secure для отримання неавторизованого доступу до кореня. Ланцюг атаки поєднував обхід аутентифікації з вразливістю виконання віддаленого коду, після чого слідувала неподолана вразливість підвищення привілеїв. Актор покладався на інєкції в пам’ять, щоб зменшити видимість і уникнути виявлення стандартними інструментами перевірки цілісності.

Розслідування

Volexity виявили цю активність під час розслідування інциденту, пов’язаного з ICS VPN пристроєм. Розслідування показало, що актор розгорнув ін’єкцію в пам’ять на стадіях, використовуючи скрипти Perl, Bash і Python для мінімізації сліду на файловій системі. Реконструкція проведення потребувала знімків пам’яті та диска через антифорензичні методи зловмисника і навмисну підробку логів.

Пом’якшення

Організації повинні негайно оновити Ivanti Connect Secure до версії 22.8R2.5 або пізнішої, або перейти до кодової лінії 25.1. Користувачі повинні бути пильними щодо неподоланої вразливості підвищення привілеїв і постійно моніторити ознаки компрометації. Покладатися лише на інструмент перевірки цілісності Ivanti недостатньо, тому що він може не виявити зміни в пам’яті.

Реагування

Коли виявлено підозрілу активність, реагувальники повинні зібрати зображення пам’яті, зображення диска та дампи ядра для детального форензичного аналізу. Моніторити веб-журнали для підвищеної кількості запитів до welcome.cgi та аномалій, що стосуються заголовка X-DSCGI-PATH. Перевіряти тимчасові каталоги на несподівані скрипти та переглядати журнали налагодження чи аудиту на пробіли, що можуть свідчити про підробку.

Виконання симуляції

• Опис атаки та команди: Противник намагається експлуатувати відому уразливість у пристрої Ivanti Connect Secure для отримання початкового опору. Щоб уникнути традиційних WAF-правил, що шукають проходження по шляху в самому URL, зловмисник використовує заголовок X-DSCGI-PATH . Метою є ін’єкція шляху, який спрямовує вебсервер виконати скрипт у тимчасовому або записуваному каталозі (/home/runtime/tmp/), ефективно обходячи аутентифікацію та дозволяючи виконання довільних команд.

• Скрипт перевірки регресії: Цей скрипт симулює зловмисний HTTP-запит, що містить визначене в Sigma-правилi поєднання заголовка й URI.

  #!/bin/bash
  # Симуляція обходу аутентифікації/виконання RCE в Ivanti Connect Secure
  # Ціль: Вебінтерфейс Ivanti Connect Secure
  
  TARGET_URL="https://<TARGET_IP>/dana-na/auth/url_default/welcome.cgi"
  MALICIOUS_HEADER="X-DSCGI-PATH: /home/runtime/tmp/"
  
  echo "[*] Початок симуляції T1190/T1212..."
  echo "[*] Відправка злочинного запиту на $TARGET_URL"
  
  # Використання curl для відправки зформованого заголовка
  curl -k -X GET "$TARGET_URL" 
       -H "$MALICIOUS_HEADER" 
       -H "User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)" 
       -v
  
  if [ $? -eq 0 ]; then
    echo "[+] Запит успішно відправлено. Перевірте SIEM на наявність виявлення."
  else
    echo "[-] Не вдалося відправити запит."
  fi

• Команди очищення:

  # Ця симуляція не робить жодних постійних змін у цільовій системі.
  # Якщо якісь файли було завантажено під час реальної атаки, вони були б видалені тут.
  echo "[*] Очищення: жодні файли не були змінені на цілі під час цієї симуляції."