Attacco Zero-Day: Hacker governativi colpiscono le reti aziendali tramite le vulnerabilità di Ivanti VPN Connect Secure (ICS)

Almeno 5 diversi programmi malware sono stati utilizzati da presunti hacker governativi (presumibilmente cinesi) secondo Mandiant. Questo è avvenuto attraverso l’abuso di vulnerabilità Zero-Day presenti all’interno dei dispositivi VPN Ivanti Connect Secure (ICS). Gli attacchi si sono verificati dall’inizio di dicembre 2023.

Il gruppo (monitorato con il nome di UNC5221) ha utilizzato malware per aggirare i sistemi di autenticazione e ottenere accesso ai dispositivi. Per compromettere i dispositivi vulnerabili, gli hacker hanno utilizzato una catena di exploit, inclusa una vulnerabilità di bypass dell’autenticazione (CVE-2023-46805). A tale bug si è aggiunta la vulnerabilità di iniezione di codice (CVE-2024-21887), presente nel prodotto Ivanti Connect Secure e Policy Secure .

Volexity, che ha attribuito l’attività al gruppo di spionaggio cinese UTA0178, aveva precedentemente spiegato che le vulnerabilità consentono l’accesso iniziale. Questo avviene attraverso l’installazione di web shell, l’inserimento di backdoor in file legittimi, la raccolta di credenziali e file di configurazione e la penetrazione nelle reti interne delle vittime.

Secondo Ivanti sono stati attaccati meno di 10 clienti, il che indica la natura mirata della campagna. Le patch per le due vulnerabilità (chiamate informalmente ConnectAround dal ricercatore di sicurezza Kevin Beaumont) dovrebbero arrivare la prossima settimana.

L’analisi di Mandiant ha mostrato che gli aggressori hanno utilizzato 5 diversi malware. Hanno inoltre inserito codice dannoso in file legittimi sui sistemi ICS e utilizzato strumenti come BusyBox (un insieme di utilità a riga di comando UNIX) e PySoxy (un server proxy SOCKS5).

Gli esperti sottolineano che, a causa della natura del file system di alcuni dispositivi, gli hacker hanno utilizzato uno script Perl per modificare i diritti di accesso e distribuire malware. Gli strumenti principali per mantenere l’accesso ai sistemi compromessi erano le web shell LIGHTWIRE e WIREFIRE. Hanno anche utilizzato il malware WARPWIRE basato su JavaScript per raccogliere credenziali e la backdoor ZIPLINE, che è in grado di scaricare/caricare file, installare Reverse Shell, creare un server proxy e impostare tunneling di rete per distribuire il traffico tra più endpoint.

Sebbene UNC5221 non sia ancora associato ad alcun gruppo conosciuto, i metodi del gruppo indicano una minaccia avanzata e persistente. L’uso di vulnerabilità zero-day e di infrastrutture nascoste è comune tra gli hacker governativi. L’attività dell’UNC5221 dimostra che attaccare il perimetro delle reti rimane un obiettivo attraente per i gruppi di spionaggio.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Pietro Melillo

Membro e Riferimento del gruppo di Red Hot Cyber Dark Lab, è un ingegnere Informatico specializzato in Cyber Security con una profonda passione per l’Hacking e la tecnologia, attualmente CISO di WURTH Italia, è stato responsabile dei servizi di Cyber Threat Intelligence & Dark Web analysis in IBM, svolge attività di ricerca e docenza su tematiche di Cyber Threat Intelligence presso l’Università del Sannio, come Ph.D, autore di paper scientifici e sviluppo di strumenti a supporto delle attività di cybersecurity. Dirige il Team di CTI "RHC DarkLab"

Aree di competenza: Cyber Threat Intelligence, Ransomware, Sicurezza nazionale, Formazione