Attacco Zero-Day: Hacker governativi colpiscono le reti aziendali tramite le vulnerabilità di Ivanti VPN Connect Secure (ICS)

Redazione RHC : 13 Gennaio 2024 09:39

Almeno 5 diversi programmi malware sono stati utilizzati da presunti hacker governativi (presumibilmente cinesi) secondo Mandiant. Questo è avvenuto attraverso l’abuso di vulnerabilità Zero-Day presenti all’interno dei dispositivi VPN Ivanti Connect Secure (ICS). Gli attacchi si sono verificati dall’inizio di dicembre 2023.

Il gruppo (monitorato con il nome di UNC5221) ha utilizzato malware per aggirare i sistemi di autenticazione e ottenere accesso ai dispositivi. Per compromettere i dispositivi vulnerabili, gli hacker hanno utilizzato una catena di exploit, inclusa una vulnerabilità di bypass dell’autenticazione (CVE-2023-46805). A tale bug si è aggiunta la vulnerabilità di iniezione di codice (CVE-2024-21887), presente nel prodotto Ivanti Connect Secure e Policy Secure .

Volexity, che ha attribuito l’attività al gruppo di spionaggio cinese UTA0178, aveva precedentemente spiegato che le vulnerabilità consentono l’accesso iniziale. Questo avviene attraverso l’installazione di web shell, l’inserimento di backdoor in file legittimi, la raccolta di credenziali e file di configurazione e la penetrazione nelle reti interne delle vittime.

Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber

«Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. Non possiamo più permetterci di chiudere gli occhi». Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca. Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare. Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura.

Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Ascoltando i nostri Podcast
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

Secondo Ivanti sono stati attaccati meno di 10 clienti, il che indica la natura mirata della campagna. Le patch per le due vulnerabilità (chiamate informalmente ConnectAround dal ricercatore di sicurezza Kevin Beaumont) dovrebbero arrivare la prossima settimana.

L’analisi di Mandiant ha mostrato che gli aggressori hanno utilizzato 5 diversi malware. Hanno inoltre inserito codice dannoso in file legittimi sui sistemi ICS e utilizzato strumenti come BusyBox (un insieme di utilità a riga di comando UNIX) e PySoxy (un server proxy SOCKS5).

Gli esperti sottolineano che, a causa della natura del file system di alcuni dispositivi, gli hacker hanno utilizzato uno script Perl per modificare i diritti di accesso e distribuire malware. Gli strumenti principali per mantenere l’accesso ai sistemi compromessi erano le web shell LIGHTWIRE e WIREFIRE. Hanno anche utilizzato il malware WARPWIRE basato su JavaScript per raccogliere credenziali e la backdoor ZIPLINE, che è in grado di scaricare/caricare file, installare Reverse Shell, creare un server proxy e impostare tunneling di rete per distribuire il traffico tra più endpoint.

Sebbene UNC5221 non sia ancora associato ad alcun gruppo conosciuto, i metodi del gruppo indicano una minaccia avanzata e persistente. L’uso di vulnerabilità zero-day e di infrastrutture nascoste è comune tra gli hacker governativi. L’attività dell’UNC5221 dimostra che attaccare il perimetro delle reti rimane un obiettivo attraente per i gruppi di spionaggio.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli