Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
A Mandiant, empresa do Google, descobriu um novo malware que explora vulnerabilidades nos dispositivos Ivanti Connect Secure VPN e Policy Secure. Esses malwares têm sido utilizados por vários grupos de ameaça, incluindo o grupo de espionagem UNC5221, ligado à China, para executar atividades pós-exploração. As novas variantes de malware utilizadas por esses agentes de ameaça incluem os web shells personalizados denominados BUSHWALK, CHAINLINE, FRAMESTING e uma variante do LIGHTWIRE.
O CHAINLINE, por exemplo, é um web shell baseado em Python incorporado aos pacotes do Ivanti Connect Secure Python, o que facilita a execução de comandos arbitrários.
O BUSHWALK, escrito em Perl, contorna as medidas de mitigação da Ivanti e permite que invasores leiam ou gravem arquivos nos servidores.
O FRAMESTING funciona como um shell web em Python integrado ao pacote Ivanti Connect Secure Python, facilitando a execução de comandos arbitrários. Ele está localizado no caminho especificado: “/home/venv3/lib/python3.6/site-packages/cav-0.1-py3.6.egg/cav/api/resources/category.py”.
O LIGHTWIRE, escrito em Perl CGI, mantém acesso remoto contínuo a dispositivos comprometidos.
A análise da Mandiant revelou a exploração de vulnerabilidades da Ivanti: CVE-2023-46805 e CVE-2024-21887, permitindo que agentes mal-intencionados executem comandos arbitrários com privilégios elevados. Essas falhas vêm sendo ativamente exploradas como vulnerabilidades “zero-day” desde dezembro de 2023, levando a relatos de sistemas comprometidos pelo Escritório Federal de Segurança da Informação da Alemanha (BSI).
Para agravar ainda mais a situação, a Mandiant identificou o uso de utilitários de código aberto, como Impacket, CrackMapExec, iodine e Enum4linux, para apoiar atividades pós-exploração, incluindo reconhecimento de rede e exfiltração de dados.
A Ivanti divulgou falhas de segurança adicionais, incluindo CVE-2024-21888 e CVE-2024-21893, e lançou correções para resolver essas vulnerabilidades. No entanto, o UNC5221 continua representando uma ameaça significativa, tendo como alvo diversos setores de interesse estratégico para a China.
Conclusão
Para mitigar o risco representado por essas vulnerabilidades da Ivanti, a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) emitiu orientações instando as agências afetadas a desconectarem imediatamente os dispositivos da Ivanti de suas redes e a aplicarem as correções o mais rápido possível. Além disso, recomenda-se que as agências redefinam senhas e revoguem tokens de acesso para evitar novos comprometimentos.
Em resumo, a descoberta dessas vulnerabilidades ressalta a importância de medidas proativas de segurança cibernética e destaca os desafios contínuos impostos por agentes mal-intencionados sofisticados. A vigilância, a aplicação oportuna de correções e o cumprimento das melhores práticas de segurança cibernética são fundamentais para a proteção contra ameaças cibernéticas em constante evolução.
As fontes deste artigo incluem uma matéria publicada no TheHackerNews.
