Thêm cuộc tấn công điên cuồng trong Zero-Day của Ivanti VPN khi các bản vá cuối cùng đã ra mắt

Ivanti cuối cùng đã bắt đầu vá một cặp lỗ hổng bảo mật zero-day được tiết lộ vào ngày 10 tháng 2024 trong các thiết bị Connect Secure VPN của mình. Tuy nhiên, hôm nay nó cũng đã công bố thêm hai lỗi trong nền tảng, CVE-21888-2024 và CVE-21893-XNUMX – lỗi sau cũng đang được khai thác tích cực trên thực tế.

Ivanti đã phát hành đợt vá lỗi đầu tiên đối với tập hợp ngày 0 ban đầu (CVE-2024-21887 và CVE-2023-46805) nhưng chỉ dành cho một số phiên bản; Các bản sửa lỗi bổ sung sẽ được tung ra theo lịch trình so le trong những tuần tới, công ty cho biết trong lời khuyên cập nhật hôm nay. Trong khi đó, Ivanti đã đưa ra một biện pháp giảm thiểu mà các tổ chức chưa được vá lỗi nên áp dụng ngay lập tức để tránh trở thành nạn nhân của lỗ hổng này. bóc lột hàng loạt bởi các tác nhân được nhà nước Trung Quốc bảo trợ và tội phạm mạng có động cơ tài chính như nhau.

Nhiều phần mềm độc hại tùy chỉnh cố định các cuộc tấn công đánh cắp dữ liệu

Đó sự bóc lột tiếp tục không suy giảm. Theo Mandiant, một mối đe dọa dai dẳng (APT) nâng cao do Trung Quốc hậu thuẫn mà nó gọi là UNC5221 đã đứng đằng sau hàng loạt hoạt động khai thác từ đầu tháng 2024. Nhưng hoạt động nói chung đã tăng lên đáng kể kể từ khi CVE-21888-2024 và CVE-21893-XNUMX được công bố vào đầu tháng XNUMX.

“In addition to UNC5221, we acknowledge the possibility that one or more related groups may be associated with the activity,” Mandiant researchers said in phân tích tấn công mạng của Ivanti released today. “It is likely that additional groups beyond UNC5221 have adopted one or more of [the] tools [associated with the compromises].”

Đến thời điểm đó, Mandiant đã đưa ra thông tin bổ sung về các loại phần mềm độc hại mà UNC5221 và các tác nhân khác đang sử dụng trong các cuộc tấn công vào Ivanti Connect Secure VPN. Cho đến nay, các thiết bị cấy ghép mà họ quan sát được trong tự nhiên bao gồm:

“Nation-state actors UNC5221 have successfully targeted and exploited vulnerabilities in Ivanti to steal configuration data, modify existing files, download remote files, and reverse tunnel within networks,” says Ken Dunham, cyber-threat director at Qualys Threat Research Unit, who warns Ivanti users to be on the lookout for supply chain attacks on their customers, partners, and suppliers. “Ivanti is likely targeted due [to] the functionality and architecture it provides actors, if compromised, as a networking and VPN solution, into networks and downstream targets of interest.”

In addition to these tools, Mandiant researchers flagged activity that uses a bypass for Ivanti’s initial stopgap mitigation technique, detailed in the original advisory; in these attacks, unknown cyberattackers are deploying a custom cyber-espionage Web shell called “Bushwalk,” which can read or write to files to a server.

“The activity is highly targeted, limited, and is distinct from the post-advisory mass exploitation activity,” according to the researchers, who also provided extensive indicators of compromise (IoCs) for defenders, and YARA rules.

Ivanti và CISA đưa ra hướng dẫn giảm thiểu cập nhật ngày hôm qua mà tổ chức nên áp dụng.

Hai lỗi Zero-Day có mức độ nghiêm trọng cao mới

Ngoài việc tung ra các bản vá cho các lỗi đã tồn tại ba tuần, Ivanti còn bổ sung các bản sửa lỗi cho hai CVE mới vào cùng một lời khuyên. Họ đang:

Only exploits for the latter have circulated in the wild, and the activity “appears to be targeted,” according to Ivanti’s advisory, but it added that organizations should “expect a sharp increase in exploitation once this information is public — similar to what we observed on 11 January following the 10 January disclosure.”

Qualys TRU’s Dunham says to expect attacks from more than just APTs: “Multiple actors are taking advantage of vulnerability exploitation opportunities prior to organizations patching and hardening against attack Ivanti is weaponized by nation-state actors and now likely others — it should have your attention and priority to patch, if you’re using vulnerable versions in production.”

Các nhà nghiên cứu cũng cảnh báo rằng kết quả của sự thỏa hiệp có thể gây nguy hiểm cho các tổ chức.

“These [new] Ivanti high-security flaws are serious [and particularly valuable for attackers], and should be patched immediately,” says Patrick Tiquet, vice president of security and architecture at Keeper Security. “These vulnerabilities, if exploited, can grant unauthorized access to sensitive systems and compromise an entire network.”

• Phân phối nội dung và PR được hỗ trợ bởi SEO. Được khuếch đại ngay hôm nay.
• PlatoData.Network Vertical Generative Ai. Trao quyền cho chính mình. Truy cập Tại đây.
• PlatoAiStream. Thông minh Web3. Kiến thức khuếch đại. Truy cập Tại đây.
• Trung tâmESG. Than đá, công nghệ sạch, Năng lượng, Môi trường Hệ mặt trời, Quản lý chất thải. Truy cập Tại đây.
• PlatoSức khỏe. Tình báo thử nghiệm lâm sàng và công nghệ sinh học. Truy cập Tại đây.
• nguồn: https://www.darkreading.com/endpoint-security/more-ivanti-vpn-zero-day-bugs-attack-frenzy-patches-rolling