Злонамерен субект използва верига от експлойти, комбинираща три уязвимости в устройствата Ivanti Connect Secure (ICS), за да компрометира организации, да събира идентификационни данни, да източва конфигурационни данни и да извършва мрежово разузнаване.
„През първата седмица на октомври 2026 г. Volexity откри неизвестен злонамерен субект, UTA0576, който злоупотребява с верига от zero-day експлойти, за да компрометира VPN устройство Ivanti Connect Secure (ICS) с инсталирани всички корекции за сигурност (към онзи момент версия 22.8R2.4)“, споделиха във вторник изследователите от Volexity.
От Ivanti заявяват, че към момента на оповестяването експлоатацията е засегнала ограничен брой клиенти и че компанията работи за оказване на съдействие на тези организации.
Как работи веригата от експлойти
Според Volexity веригата за експлоатация се състои от заобикаляне на автентикацията (в welcome.cgi), уязвимост за запис на файлове (в wu.cgi) и уязвимост за ескалация на привилегии „в начина, по който брокерът dsinvoked в ICS се доверява на конфигурационните данни от DSCache, което позволява на атакуващия да изпълнява команди като root“.
Това е позволило на атакуващия да:
- Получи неограничен достъп до целевите устройства
- Извлече съхраняваните в тях идентификационни данни
- Източи част от метаданните на Active Directory
- Събере пароли на локални администратори и ключове за възстановяване на BitLocker
- Източи конфигурационни данни
- Прихваща LDAP трафик от компрометираното устройство
- Модифицира системните логове, за да заличи следите от злонамерената дейност, да премахне временните артефакти от изпълнението и да извърши други дейности по почистване.
„Volexity оценява с ниска степен на увереност, че UTA0576 има по-скоро криминални, отколкото шпионски подбуди, въз основа на целта на тази дейност“, заявяват изследователите на компанията.
„Тъй като операцията беше засечена и прекъсната, крайните цели на атакуващия не можаха да бъдат установени. Въпреки това Volexity оценява с висока степен на увереност, че действията на UTA0576 са били признак за подготовка за странично придвижване (lateral movement) и по-широко компрометиране на мрежата на жертвата.“
Според Defused Cyber най-ранният потвърден случай на тази атака е регистриран на 1 октомври.
Корекции за сигурност, мерки за смекчаване и откриване
Ivanti издаде корекция за сигурност за уязвимостта за заобикаляне на автентикацията и отдалечено изпълнение на код (RCE) (CVE-2026-104935) и работи по отстраняване на уязвимостта за ескалация на привилегии от веригата експлойти.
„Първоначално Ivanti откри част от тази уязвимост в рамките на програмата ни за сигурност на продуктите и я коригира в юлската версия 25.1.3.0. Работехме по пренасянето на корекцията към останалите поддържани версии, когато бе извършена експлоатацията“, заявиха от компанията.
Ivanti посъветва клиентите си да надградят до коригирана версия, да проверят за индикатори за компрометиране, предоставени от Volexity, и редовно да стартират инструмента Integrity Checker Tool на ICS, който идентифицира неочаквани модификации на файловете на диска.
В този конкретен случай обаче инструментът Integrity Checker Tool може да не бъде от полза. „Тъй като тази верига от експлойти модифицира кода на библиотеките само в оперативната памет и възстановява данните от конфигурационното хранилище, инструментът не засича никакви промени. Поради това е необходимо форензик разследване, за да се открият доказателства за експлоатация“, отбелязва Volexity.
Тази препоръка бе подкрепена и от CISA, която добави CVE-2026-104935 към своя каталог с известни експлоатирани уязвимости и разпореди на федералните граждански агенции на САЩ да приложат мерки и да извършат форензик анализ до 16 октомври 2026 г.
Организациите, които открият доказателства за компрометиране, трябва да следват стъпките за възстановяване, описани от Ivanti.
- 0-day
- CISA
- Defused
- Ivanti
- обновяване за сигурност
- Volexity