Več Ivanti VPN Zero-Days Fuel Attack Frenzy kot popravki končno prihajajo

Več Ivanti VPN Zero-Days Fuel Attack Frenzy kot popravki končno prihajajo

Časovni žig: 31. januar 2024 3:25
Izvorno vozlišče: 3090562

Ivanti je končno začel popravljati par varnostnih ranljivosti zero-day, ki so bile razkrite 10. januarja v njegovih napravah Connect Secure VPN. Vendar pa je danes objavil tudi dve dodatni napaki na platformi, CVE-2024-21888 in CVE-2024-21893 — slednja se prav tako aktivno izkorišča v naravi.

Ivanti je izdal svojo prvo serijo popravkov za prvotni niz dni nič (CVE-2024-21887 in CVE-2023-46805), vendar samo za nekatere različice; dodatni popravki bodo uvedeni po zamaknjenem urniku v prihodnjih tednih, je družba zapisala v svojem današnjem posodobljenem svetovanju. Medtem je Ivanti zagotovil ublažitev, ki bi jo morale nepopravljene organizacije uporabiti takoj, da ne bi postale žrtve množično izkoriščanje s strani kitajskih akterjev, ki jih sponzorira država in finančno motivirani kiberkriminalci.

Več zlonamernih programov po meri zasidranih napadov kraje podatkov

To izkoriščanje se neomajno nadaljuje. Mandiant navaja, da napredna trajna grožnja (APT), ki jo podpira Kitajska in imenuje UNC5221, stoji za množicami izkoriščanj od začetka decembra. Toda dejavnost na splošno se je precej povečala, odkar sta bila CVE-2024-21888 in CVE-2024-21893 javno objavljena prej januarja.

"Poleg UNC5221 priznavamo možnost, da je ena ali več povezanih skupin lahko povezanih z dejavnostjo," so povedali raziskovalci Mandianta v analiza kibernetskega napada Ivanti izdano danes. "Verjetno so dodatne skupine poleg UNC5221 sprejele eno ali več orodij [povezanih s kompromisi]."

Do te točke je Mandiant izdal dodatne informacije o vrstah zlonamerne programske opreme, ki jo UNC5221 in drugi akterji uporabljajo pri napadih na varna VPN-ja Ivanti Connect. Doslej vsadki, ki so jih opazili v naravi, vključujejo:

  • Različica spletne lupine LightWire, ki se vstavi v zakonito komponento prehoda VPN, zdaj pa vključuje drugačno rutino zakrivanja.

  • Dve spletni lupini po meri UNC5221, imenovani »ChainLine« in »FrameSting«, ki sta stranski vrati, vdelani v pakete Ivanti Connect Secure Python, ki omogočata poljubno izvajanje ukazov.

  • ZipLine, pasivna stranska vrata, ki jih uporablja UNC5221 in uporablja šifriran protokol po meri za vzpostavitev komunikacije z ukazom in nadzorom (C2). Njegove funkcije vključujejo nalaganje in prenos datotek, povratno lupino, proxy strežnik in strežnik za tuneliranje.

  • Nove različice zlonamerne programske opreme WarpWire za krajo poverilnic, ki ukrade gola besedilna gesla in uporabniška imena za izločanje na trdo kodiran strežnik C2. Mandiant ne pripisuje vseh različic UNC5221.

  • In več odprtokodnih orodij za podporo dejavnostim po izkoriščanju, kot so izvidovanje notranjega omrežja, bočno premikanje in izločanje podatkov v omejenem številu okolij žrtev.

»Akterji nacionalne države UNC5221 so uspešno ciljali in izkoriščali ranljivosti v Ivantiju za krajo konfiguracijskih podatkov, spreminjanje obstoječih datotek, prenos oddaljenih datotek in obračanje predorov v omrežjih,« pravi Ken Dunham, direktor za kibernetske grožnje pri Qualys Threat Research Unit, ki opozarja Uporabniki Ivanti naj bodo pozorni na napade v dobavni verigi na svoje stranke, partnerje in dobavitelje. "Ivanti je verjetno tarča zaradi (zaradi) funkcionalnosti in arhitekture, ki ju akterjem zagotavlja, če je ogrožen, kot rešitev za mreženje in VPN, v omrežja in nižje cilje, ki jih zanimajo."

Poleg teh orodij so raziskovalci Mandianta označili dejavnost, ki uporablja obvod za Ivantijevo začetno tehniko ublažitve zaporne vrzeli, podrobno opisano v prvotnem svetovanju; v teh napadih neznani kibernetski napadalci uvajajo prilagojeno spletno lupino za kibernetsko vohunjenje, imenovano »Bushwalk«, ki lahko bere ali piše datoteke v strežnik.

"Dejavnost je zelo ciljno usmerjena, omejena in se razlikuje od dejavnosti množičnega izkoriščanja po svetovanju," pravijo raziskovalci, ki so zagotovili tudi obsežne kazalnike kompromisa (IoC) za zagovornike in pravila YARA.

Ivanti in CISA sta izdala posodobljene smernice za ublažitev včeraj, da bi morale organizacije prijaviti.

Dva sveža zelo resna hrošča ničelnega dne

Poleg uvedbe popravkov za tri tedne stare hrošče je Ivanti v isto svetovanje dodal tudi popravke za dva nova CVE. To so:

  • CVE-2024-21888 (ocena CVSS: 8.8): Ranljivost stopnjevanja privilegijev v spletni komponenti Ivanti Connect Secure in Ivanti Policy Secure, ki kibernetskim napadalcem omogoča pridobitev skrbniških pravic.

  • CVE-2024-21893 (ocena CVSS: 8.2): Ranljivost ponarejanja zahtev na strani strežnika v komponenti SAML Ivanti Connect Secure, Ivanti Policy Secure in Ivanti Neurons za ZTA, ki kibernetskim napadalcem omogoča dostop do »določenih omejenih virov brez preverjanja pristnosti«.

Samo izkoriščanja slednjega so krožila v divjini in dejavnost "se zdi, da je ciljna", v skladu z Ivantijevim nasvetom, vendar je dodal, da bi morale organizacije "pričakovati močno povečanje izkoriščanja, ko bodo te informacije javne - podobno kot smo opazili 11. januarja po razkritju 10. januarja."

Dunham iz Qualys TRU pravi, da pričakuje napade iz več kot le APT-jev: »Več akterjev izkorišča priložnosti izkoriščanja ranljivosti, preden organizacije zakrpajo in utrdijo napade. Ivantija orožijo akterji iz nacionalne države in zdaj verjetno še drugi — moral bi imeti vašo pozornost in prednost pri popravku, če uporabljate ranljive različice v proizvodnji.«

Raziskovalci tudi opozarjajo, da je rezultat kompromisa lahko nevaren za organizacije.

»Te [nove] visokovarnostne napake Ivanti so resne [in še posebej dragocene za napadalce] in jih je treba takoj popraviti,« pravi Patrick Tiquet, podpredsednik za varnost in arhitekturo pri Keeper Security. "Če se te ranljivosti izkoristijo, lahko omogočijo nepooblaščen dostop do občutljivih sistemov in ogrozijo celotno omrežje."

Časovni žig:

Več od Temno branje