Изследователи предупреждават, че атакуващият предприема множество стъпки за заличаване на цифрови криминалистични доказателства след атака.
- Споделяне
- Лицензиране
- Добавете ни в Google
Заподозрян киберпрестъпник атакува клиенти на Ivanti Connect Secure чрез сложна верига от експлойти, която комбинира три уязвимости с висока степен на опасност, се посочва в доклад от вторник на базираната във Вирджиния фирма за киберсигурност Volexity.
Веригата комбинира уязвимост за заобикаляне на автентикацията с дефекти за отдалечено изпълнение на код и ескалация на привилегии за постигане на изпълнение на код на root ниво (RCE), според изследователите. Заобикалянето на автентикацията и RCE се проследяват заедно като CVE-2026-104935 с оценка на опасност 8.6 от 10.
Неизвестният досега злонамерен субект, когото изследователите проследяват като UTA0576, се прицелва в идентификационни данни за Active Directory и други чувствителни данни. Хакерът е таргетирал ключове за възстановяване на BitLocker и Local Administrator Password Solution с помощта на персонализиран инструмент за олекотен протокол за достъп до директории (LDAP), базиран на Python.
Хакерът е внедрил и персонализиран Kerberos инструмент, способен да извършва така наречените атаки Kerberoasting, както и тестване на идентификационни данни.
Изследователите започнаха разследване на проблема с Ivanti на 5 октомври, след като откриха необичайна активност при клиент, който беше инсталирал всички корекции за сигурност.
„Volexity активно разследваше дейност, засягаща наш клиент, когато забелязахме неуспешни опити за автентикация, произлизащи от вътрешния интерфейс на VPN устройството [Ivanti Connect Secure]“, заяви пред Cybersecurity Dive Шон Кесъл, вицепрезидент по професионални услуги във Volexity. „Разследвали сме достатъчно периферни устройства, за да знаем, че това е ясен знак за вероятно компрометирано устройство.“
Ivanti Connect Secure е широко използван инструмент, който позволява на служителите защитен отдалечен достъп до корпоративни мрежи.
От Ivanti, които заявиха, че са запознати с ограничена по мащаб експлоатация, публикуваха бюлетин за сигурност във връзка с активността. Клиентите трябва незабавно да приложат препоръчаните обновления.
Хронология на експлоатацията
От Volexity съобщиха, че разследването им е установило злонамерена активност от 3 октомври. Междувременно фирмата за разузнаване на заплахи Defused заяви, че за първи път е засекла активност на 1 октомври както на своите публични примамки (honeypots), така и на клиентски инстанции, заяви пред Cybersecurity Dive основателят и главен изпълнителен директор Симо Кохонен.
От Ivanti посочиха, че преди това са идентифицирали част от уязвимостта в рамките на вътрешната си програма за сигурност на продуктите и са отстранили дефекта в юлската версия 25.1.3.0.
Агенцията за киберсигурност и сигурност на инфраструктурата (CISA) във вторник добави CVE-2026-104935 в своя каталог с известни експлоатирани уязвимости (KEV). Федералните цивилни изпълнителни агенции на САЩ имат срок до петък да ограничат уязвимостта.
CISA отделно призова екипите по сигурност незабавно да инсталират корекции за сигурност на своите системи. Агенцията също така предупреди, че инструментът за проверка на целостта на Ivanti (Integrity Checker Tool) невинаги засича потенциално компрометиране, тъй като командите на хакера се изпълняват „в паметта“.
Изследователите на Volexity предупредиха, че хакерите изтриват доказателства за експлоатацията от регистрационните файлове за отстраняване на грешки на Ivanti и одитните логове на Linux, поради което откриването ще изисква допълнителен криминалистичен анализ.