В Ivanti Connect Secure описали цепочку эксплуатации уязвимостей
В открытом каталоге обнаружили материалы, связывающие адрес 208.85.17.99 с цепочкой эксплуатации уязвимостей Ivanti Connect Secure. В открытых источниках эту цепочку приписывают UTA0576. Связь адреса с эксплуатацией уязвимостей исследователи оценивают как убедительную, а атрибуцию хоста группе UTA0576 как сделанную с умеренной уверенностью.
Эксплуатация уязвимостей Ivanti
Злоумышленники объединили три уязвимости: CVE-2026-104935, обход аутентификации с помощью заголовка X-DSCGI-PATH; CVE-2026-118527, требующую аутентификации уязвимость загрузки файлов; и CVE-2026-111357, уязвимость локального повышения привилегий. Цепочка обеспечивала доступ без аутентификации, выполнение Perl-нагрузки благодаря гонке в каталоге /home/runtime/tmp и получение прав root через брокер dsinvoked и сокет .invoke. В материалах указана версия устройства 22.8R2.4.
Открытый каталог на 208.85.17.99:9999 содержал комплекс эксплуатации, 168 журналов выполнения с временными метками и собранные данные. В комплексе и журналах нашли артефакты, соответствующие публичному отчёту, в том числе файлы ics-root-run-inband и ics-root-result-inband.
Прокси-серверы и другие артефакты
В памяти оператора на русском языке адрес 108.165.147.64 указан как предыдущий прокси-сервер, после которого оператор перешёл на 208.85.17.99. Адрес 108.165.147.64 приводился в отчёте как индикатор компрометации, но впоследствии его отозвали. В заметках также перечислены адреса других прокси-серверов и систем операторов. Эти связи основаны только на данных из заметок и независимо не подтверждены.
Обнаруженные файлы указывают и на другие виды активности: массовое сканирование с помощью FOFA, эксплуатацию других продуктов, сбор учётных данных, запросы LDAP и подготовленные архивы. В открытых источниках также описаны попытки получить пароли Windows LAPS и ключи восстановления BitLocker, а также обойти средство проверки целостности Ivanti. Эти действия не подтвердились при анализе восстановленных файлов.
Поиск по публичной заголовочной части эксплойта выявил и не связанных с UTA0576 злоумышленников, которые эксплуатировали ту же уязвимость. Авторы отчёта рекомендуют установить обновления до версий 25.1.1.3 или 22.8R2.6, сохранить доказательства до сброса затронутых устройств к заводским настройкам и сменить учётные данные, доступные с скомпрометированных систем.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
