Вразливість Ivanti використовується для встановлення бекдору DSLog

Нещодавні викриття вказують на те, що зловмисники використовують нову вразливість, знайдену в шлюзах Ivanti Connect Secure, Policy Secure і ZTA, для встановлення бекдору DSLog на вразливих пристроях.

Як інформує thehackernews.com, компанія Orange Cyberdefense у своєму останньому звіті повідомила, що експлуатація вразливості CVE-2024-21893, яка дає змогу проводити атаки з підробленням запитів на боці сервера (SSRF), розпочалася невдовзі після випуску коду перевірки концепції (PoC).

Вразливість, виявлена Ivanti минулого місяця разом із CVE-2024-21888, потенційно може надати несанкціонований доступ до ресурсів з обмеженим доступом без необхідності автентифікації. Хоча компанія Ivanti визнала обмежену кількість таргетованих атак із використанням цієї вразливості, точний масштаб компрометації залишається невідомим.

Ще більше ускладнює ситуацію те, що організація Shadowserver Foundation повідомила про значне зростання кількості спроб експлуатації з понад 170 унікальних IP-адрес після детального технічного розкриття інформації від Rapid7 і AssetNote.

Розслідування Orange Cyberdefense виявило компрометації, датовані 3 лютого. Зловмисники впровадили бекдор під назвою DSLog у Perl-файл DSLog.pm, щоб забезпечити постійний віддалений доступ.

Імплантат DSLog використовує складні методи ухилення, зокрема генерує унікальний хеш для кожного пристрою, що ускладнює його виявлення та відстеження на різних пристроях. Для виконання команд шкідливе програмне забезпечення використовує поле заголовка HTTP User-Agent і параметр запиту під назвою «cdi», а розшифровану інструкцію виконує з привілеями root. Крім того, дані свідчать, що зловмисники намагалися замести сліди, стираючи журнали .access на багатьох скомпрометованих пристроях, щоб запобігти виявленню.

Попри ці зусилля, 3 лютого фахівці Orange Cyberdefense виявили та просканували 670 скомпрометованих активів, а до 7 лютого їх кількість зменшилася до 524.

У відповідь на постійну експлуатацію Orange Cyberdefense радить усім клієнтам Ivanti виконати скидання до заводських налаштувань на своїх пристроях перед встановленням патчів, щоб зменшити ризик отримання зловмисниками постійного доступу.

Не дозволяйте зловмисникам скористатися вразливостями у вашій мережі: налаштуйте ефективну систему безпеки за допомогою DigVel!