Még több Ivanti VPN Zero-Days Fuel Attack Frenzy, mint a patchek végre felkerülnek

Még több Ivanti VPN Zero-Days Fuel Attack Frenzy, mint a patchek végre felkerülnek

Időbélyeg: 31. január 2024. 3:25
Forrás csomópont: 3090562

Az Ivanti végre megkezdte a Connect Secure VPN készülékeiben január 10-én nyilvánosságra hozott nulladik napi biztonsági rések javítását. A mai napon azonban két további hibát is bejelentett a platformon, a CVE-2024-21888 és a CVE-2024-21893 – utóbbit a vadonban is aktívan használják.

Az Ivanti kiadta a javítások első körét a nulla napok eredeti halmazához (CVE-2024-21887 és CVE-2023-46805), de csak egyes verziókhoz; A következő hetekben a további javítások ütemezett ütemezésben kerülnek bevezetésre – közölte a vállalat mai frissített tanácsadójában. Időközben az Ivanti olyan enyhítő intézkedést hozott, amely szerint a kijavítatlan szervezeteknek azonnal jelentkezniük kell, hogy elkerüljék az áldozatul esést. a kínai államilag támogatott szereplők tömeges kizsákmányolása és anyagilag motivált kiberbűnözők egyaránt.

Több egyéni malware horgonyzó adatlopási támadás

Hogy a kizsákmányolás töretlenül folytatódik. A Mandiant szerint az UNC5221 nevű, Kína által támogatott fejlett állandó fenyegetés (APT) rengeteg kizsákmányolás mögött áll december elejéig. Az aktivitás azonban általában véve jelentősen felpörgött, amióta a CVE-2024-21888 és a CVE-2024-21893 január elején nyilvánosságra hozták.

"Az UNC5221 mellett elismerjük annak lehetőségét, hogy egy vagy több rokon csoport kapcsolatba hozható a tevékenységgel" - mondták a Mandiant kutatói. Ivanti kibertámadás elemzése ma megjelent. „Valószínű, hogy az UNC5221-en túl további csoportok is alkalmaztak egy vagy több [a kompromisszumokhoz kapcsolódó] eszközt.”

Addig a Mandiant további információkat adott ki az UNC5221 és más szereplők által az Ivanti Connect Secure VPN-ek elleni támadásokhoz használt rosszindulatú programok típusairól. Eddig a vadonban megfigyelt implantátumok a következők:

  • A LightWire Web shell egy olyan változata, amely beilleszti magát a VPN-átjáró legális összetevőjébe, és immár egy másik elhomályosítási rutint tartalmaz.

  • Két UNC5221 egyedi webhéj, a „ChainLine” és a „FrameSting”, amelyek az Ivanti Connect Secure Python csomagokba ágyazott hátsó ajtók, amelyek tetszőleges parancsvégrehajtást tesznek lehetővé.

  • ZipLine, az UNC5221 által használt passzív hátsó ajtó, amely egyéni, titkosított protokollt használ a kommunikáció létrehozásához a parancs- és vezérléssel (C2). Funkciói közé tartozik a fájlfeltöltés és -letöltés, a fordított shell, a proxyszerver és a tunneling szerver.

  • A WarpWire hitelesítő adatok ellopását célzó kártevő új változatai, amelyek egyszerű szöveges jelszavakat és felhasználóneveket lopnak a kemény kódolt C2-szerverre való kiszűréshez. A Mandiant nem tulajdonítja az összes változatot az UNC5221-nek.

  • És számos nyílt forráskódú eszköz a kizsákmányolás utáni tevékenységek támogatására, mint például a belső hálózat felderítése, oldalirányú mozgás és adatszivárgás korlátozott számú áldozati környezetben.

„Az UNC5221 nemzetállami szereplők sikeresen célozták meg és használták ki az Ivanti biztonsági réseit konfigurációs adatok ellopására, meglévő fájlok módosítására, távoli fájlok letöltésére és a hálózatokon belüli alagút megfordítására” – figyelmeztet Ken Dunham, a Qualys Threat Research Unit kiberfenyegetésekkel foglalkozó igazgatója. Az Ivanti felhasználóknak figyelniük kell az ellátási lánc támadásait ügyfeleik, partnereik és beszállítóik ellen. „Az Ivanti valószínűleg a hálózatokba és a későbbi érdeklődési körökbe kerül a szereplők számára biztosított funkcionalitás és architektúra miatt, ha veszélybe kerül, hálózati és VPN-megoldásként.”

Ezeken az eszközökön kívül a Mandiant kutatói olyan tevékenységet jelöltek meg, amely az eredeti tanácsban részletezett Ivanti kezdeti stopgap-csillapítási technikájának megkerülését alkalmazza; ezekben a támadásokban az ismeretlen kibertámadók a „Bushwalk” nevű egyedi kiberkémkedési webhéjat telepítik, amely képes fájlokat olvasni vagy írni a szerverre.

„A tevékenység erősen célzott, korlátozott, és különbözik a tanácsadói tevékenység utáni tömeges kizsákmányolástól” – állítják a kutatók, akik kiterjedt kompromisszummutatókat (IoC) is szolgáltattak a védők számára, és a YARA szabályait.

Az Ivanti és a CISA frissített enyhítési útmutatót adott ki tegnap, hogy a szervezeteknek jelentkezniük kell.

Két friss, nagy súlyosságú nulladik napi hiba

Amellett, hogy a három hetes hibákhoz kiadott javításokat, Ivanti két új CVE-hez is javított ugyanahhoz a tanácshoz. Ők:

  • CVE-2024-21888 (CVSS-pontszám: 8.8): Az Ivanti Connect Secure és az Ivanti Policy Secure webes összetevőjének jogosultság-kiterjesztési biztonsági rése, amely lehetővé teszi a kibertámadások számára rendszergazdai jogosultságok megszerzését.

  • CVE-2024-21893 (CVSS pontszám: 8.2): Az Ivanti Connect Secure, az Ivanti Policy Secure és az Ivanti Neurons for ZTA SAML-összetevőjében található szerveroldali kéréshamisítási rés, amely lehetővé teszi a kibertámadók számára, hogy „bizonyos korlátozott erőforrásokhoz hitelesítés nélkül hozzáférjenek”.

Csak az utóbbi kizsákmányolása terjedt el a vadonban, és Ivanti tanácsa szerint a tevékenység „célzottnak tűnik”, de hozzátette, hogy a szervezeteknek „a kizsákmányolás meredek növekedésére kell számítaniuk, amint ez az információ nyilvánosságra kerül – hasonlóan ahhoz, amit megfigyeltünk. január 11-i közzétételt követően január 10-én.”

A Qualys TRU munkatársa, Dunham szerint nem csak APT-ktől kell támadásokra számítani: „Több szereplő is kihasználja a sebezhetőség kihasználásának lehetőségeit, mielőtt a szervezetek befoltoznák és megnehezítenék a támadásokat. Ivantit nemzetállami szereplők fegyverezték fel, és most valószínűleg mások is – figyelnie kell rá, és a javítás elsőbbsége, ha sebezhető verziókat használ éles környezetben.”

A kutatók arra is figyelmeztetnek, hogy a kompromisszum eredménye veszélyes lehet a szervezetekre.

„Ezek az [új] Ivanti fokozott biztonsági hibái súlyosak [és különösen értékesek a támadók számára], és azonnal ki kell javítani őket” – mondja Patrick Tiquet, a Keeper Security biztonsági és építészeti alelnöke. "Ezek a sérülékenységek, ha kihasználják őket, jogosulatlan hozzáférést biztosíthatnak érzékeny rendszerekhez, és egy egész hálózatot veszélyeztethetnek."

Időbélyeg:

Még több Sötét olvasmány