UTA0576 эксплуатирует уязвимости в полностью обновлённых устройствах Ivanti Connect Secure
В октябре 2026 года Volexity обнаружила, что неизвестный злоумышленник UTA0576 эксплуатировал уязвимости в полностью обновлённых устройствах VPN Ivanti Connect Secure (ICS), в том числе версии 22.8R2.4 Build 19097. Атака позволяла без аутентификации добиться удалённого выполнения кода с правами root. Компоненты обхода аутентификации и удалённого выполнения кода отслеживаются как CVE-2026-104935. Обновления для них выпустили 13 октября 2026 года.
Эксплуатация уязвимостей Ivanti Connect Secure
В цепочке атаки использовались три уязвимости: обход аутентификации в welcome.cgi, уязвимость записи файла и гонка состояний в wu.cgi, а также повышение привилегий, связанное со службой dsinvoked и конфигурацией DSCache. Злоумышленник направлял неаутентифицированные запросы к защищённым CGI-скриптам и передавал заголовок X-DSCGI-PATH.
Через wu.cgi загружался скрипт на Perl с расширением .zip. Параллельные запросы пытались запустить файл до того, как обработчик загрузки удалял его. Скрипт запускал Bash и полезную нагрузку на Python, которая выполнялась в оперативной памяти. Для повышения привилегий полезная нагрузка изменяла копию libdsplibs.so в памяти процесса, вносила изменения в задачу обслуживания DSCache и заставляла службу dsinvoked с правами root выполнить скрипт на Perl. Затем злоумышленник восстановил изменённое состояние памяти и конфигурации и удалил соответствующие записи из журналов отладки Ivanti и аудита Linux.
Кража учётных данных и сокрытие следов
UTA0576 сосредоточился на краже учётных данных, разведке в Active Directory и подготовке к горизонтальному перемещению внутри компании. Злоумышленник извлекал учётные данные службы LDAP и запрашивал в Active Directory пароли LAPS, ключи восстановления BitLocker, атрибуты userPassword и unixUserPassword, а также метаданные учётных записей. Для проверки учётных данных и потенциального керберостинга использовались пользовательские инструменты LDAP и Kerberos.
Актор также проводил распыление пароля, разведку DNS и хостов, анализ журналов аутентификации и перехват пакетов LDAP-трафика. Переименованная утилита перехвата пакетов искала в трафике учётные данные LDAP в открытом виде, учётные данные HTTP Basic Authentication и данные NTLM challenge-response. Постоянных веб-оболочек или бэкдоров выявлено не было. Команды и результаты обменивались через HTTPS-запросы к цепочке эксплуатации.
Криминалистические действия включали изменение журналов, самоудаление полезной нагрузки, очистку временных файлов, подавление вывода и восстановление изменённого состояния системы. Поскольку эксплуатация в основном затрагивала оперативную память, а конфигурационные данные затем восстанавливались, Ivanti Integrity Checker может не обнаружить компрометацию. Требуется криминалистический анализ сети, памяти, диска и конечных точек. Особое внимание следует уделить несоответствующим значениям URL и X-DSCGI-PATH, подозрительным файлам в /tmp/ и необычным запросам к welcome.cgi.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
