ついにパッチがリリースされ、Ivanti VPN ゼロデイ攻撃の熱狂がさらに加速

Ivanti は、10 月 2024 日に同社の Connect Secure VPN アプライアンスで明らかにされた 21888 つのゼロデイ セキュリティ脆弱性へのパッチ適用をついに開始しました。ただし、本日、プラットフォームに 2024 つの追加のバグ、CVE-21893-XNUMX と CVE-XNUMX-XNUMX が発表されました。後者も実際に悪用されています。

Ivanti がパッチの最初のラウンドをリリースしました 元のゼロデイセットの場合 (CVE-2024-21887およびCVE-2023-46805）ただし一部のバージョンのみ。同社は本日更新されたアドバイザリで、追加の修正は今後数週間のうちに時間差スケジュールで公開される予定だと述べた。それまでの間、Ivanti は、パッチを適用していない組織が被害に遭わないように直ちに適用する必要がある緩和策を提供しました。 中国国家支援主体による大量搾取 金銭目的のサイバー犯罪者も同様です。

データ盗難攻撃をアンカーする複数のカスタム マルウェア

それ 搾取は衰えることなく続いている。 Mandiant によると、中国が支援する UNC5221 と呼ばれる高度持続的脅威 (APT) が、2024 月初旬から一連の悪用の背後に存在しているとのことです。しかし、21888 月初めに CVE-2024-21893 と CVE-XNUMX-XNUMX が公開されて以来、活動全般が大幅に増加しています。

「UNC5221に加えて、XNUMXつ以上の関連グループがこの活動に関連している可能性があることを我々は認めている」とマンディアントの研究者らは記事で述べた。 Ivanti のサイバー攻撃分析 今日リリースされました。 「UNC5221 以外のグループも、[侵害に関連する] ツールを XNUMX つ以上採用している可能性があります。」

その時点で、Mandiant は、UNC5221 および他の攻撃者が Ivanti Connect Secure VPN への攻撃に使用しているマルウェアの種類に関する追加情報を発行しました。これまでのところ、野生で観察されたインプラントには次のものがあります。

「国家攻撃者 UNC5221 は、構成データの盗用、既存ファイルの変更、リモート ファイルのダウンロード、およびネットワーク内のリバース トンネルを行うために、Ivanti の脆弱性を標的にして悪用することに成功しました」と、Qualys 脅威研究ユニットのサイバー脅威ディレクターである Ken Dunham 氏は警告します。 Ivanti ユーザーは、顧客、パートナー、サプライヤーに対するサプライ チェーン攻撃に注意してください。 「Ivanti が標的にされる可能性があるのは、侵害された場合、ネットワーキングおよび VPN ソリューションとしてアクターに提供される機能とアーキテクチャが原因で、ネットワークや下流の対象ターゲットに Ivanti が侵入する可能性があります。」

これらのツールに加えて、Mandiant の研究者は、Ivanti の初期の一時しのぎ緩和手法のバイパスを使用するアクティビティにフラグを立てました。これについては元の勧告で詳述されています。これらの攻撃では、未知のサイバー攻撃者が「Bushwalk」と呼ばれるカスタムのサイバースパイ Web シェルを展開し、サーバー上のファイルを読み書きできるようにしています。

研究者らによると、「この活動は高度に標的が絞られており、限定的であり、勧告後の大量搾取活動とは異なる」と述べ、防御者向けの広範な侵害指標（IoC）とYARAルールも提供した。

Ivanti と CISA が最新の緩和ガイダンスを発表 昨日、組織は申請する必要があると発表されました。

2 つの新たな高重大度ゼロデイ バグ

Ivanti は、3 週間前のバグに対するパッチの展開に加えて、2 つの新しい CVE に対する修正も同じアドバイザリに追加しました。彼らです：

Ivanti の勧告によれば、後者のエクスプロイトのみが世に出回っており、この活動は「標的にされているようだ」としているが、組織は「この情報が公開されると、我々が観察したのと同様に、エクスプロイトの急増が予想される」と付け加えた。 11月10日の開示に続き、XNUMX月XNUMX日に。」

Qualys TRU の Dunham 氏は、単なる APT 以外からの攻撃も予想されると述べています。「組織がパッチを適用して攻撃に対する対策を強化する前に、複数の攻撃者が脆弱性悪用の機会を利用しています。Ivanti は国民国家の攻撃者と、現在ではおそらく他の攻撃者によって兵器化されています。注意を払う必要があります。本番環境で脆弱なバージョンを使用している場合は、パッチを優先してください。」

研究者らはまた、侵害の結果は組織にとって危険となる可能性があると警告している。

「これらの [新しい] Ivanti の高セキュリティの欠陥は深刻であり、[攻撃者にとって特に価値があり]、すぐにパッチを適用する必要があります」と Keeper Security のセキュリティおよびアーキテクチャ担当副社長の Patrick Tiquet 氏は述べています。 「これらの脆弱性が悪用されると、機密システムへの不正アクセスが許可され、ネットワーク全体が危険にさらされる可能性があります。」

• SEO を活用したコンテンツと PR 配信。 今日増幅されます。
• PlatoData.Network 垂直生成 Ai。 自分自身に力を与えましょう。 こちらからアクセスしてください。
• プラトアイストリーム。 Web3 インテリジェンス。 知識増幅。 こちらからアクセスしてください。
• プラトンESG。 カーボン、 クリーンテック、 エネルギー、 環境、 太陽、 廃棄物管理。 こちらからアクセスしてください。
• プラトンヘルス。 バイオテクノロジーと臨床試験のインテリジェンス。 こちらからアクセスしてください。
• 情報源： https://www.darkreading.com/endpoint-security/more-ivanti-vpn-zero-day-bugs-attack-frenzy-patches-rolling