Верига от експлойти за нулев ден, насочена срещу VPN устройства Ivanti Connect Secure, е наблюдавана в реални условия, според доклад на компанията за сигурност Rescana. Описаното въздействие е сериозно: неавтентикирани атакуващи могат да достигнат до отдалечено изпълнение на код с root права и да откраднат идентификационни данни, дори на устройства, които са напълно пачнати. Този експлойт за нулев ден в Ivanti Connect Secure е напомняне, че VPN шлюзът, разположен на периферията на мрежата, е една от най-ценните цели, които атакуващият може да избере.

Изходният доклад е достъпен за нас само частично, затова тази статия се придържа към потвърденото и избягва спекулации относно технически подробности. Когато предлагаме насоки, това е обща практика за сигурност, а не инструкции, издадени от доставчика.

Защо напълно пачнато VPN устройство все още беше компрометирано

Думата „нулев ден" обяснява голяма част от това. Нулев ден е уязвимост, която атакуващите експлоатират, преди да съществува поправка, така че инсталирането на всеки наличен ъпдейт не предпазва от нея. Напълно пачнато устройство е защитено само срещу проблемите, които вече са известни и поправени.

Докладът описва верига от експлойти, което означава няколко слабости, свързани заедно. Веригите са често срещани при сериозни атаки, защото един бъг рядко дава пълен контрол сам по себе си. В комбинация поредица от по-малки уязвимости може да отведе атакуващия от никакъв достъп до пълен контрол над устройството, без да е необходим вход.

За контекст относно времето, vpn.social вече е отразявал по-ранното знание на Ivanti за част от уязвимостта. В това отразяване Ivanti заяви, че е забелязала част от дефекта месеци преди атакуващите да го използват, но е преценила, че той не отговаря на критериите за извънредно издание. Тази история е важна, защото показва колко дълга може да бъде разликата между момента, в който доставчикът забележи проблем, и момента, в който клиентите получат поправка.

Какво означават root достъпът и кражбата на идентификационни данни за потребителите

Root е най-високото ниво на привилегии в Linux-базирана система. Атакуващ с root на VPN устройство не е ограничен до това, което нормален потребител би могъл да направи. Той потенциално може да чете или променя всичко, което устройството обработва, да променя конфигурацията му и да изпълнява собствен код.

Кражбата на идентификационни данни е частта, която засяга най-много обикновените потребители. VPN устройството обработва входове за служители, изпълнители и партньори. Ако атакуващ успее да прихване тези идентификационни данни, щетите могат да се разпространят далеч отвъд устройството:

  • Откраднатите потребителски имена и пароли могат да бъдат използвани повторно за достъп до вътрешни системи, имейл и облачни услуги.
  • Компрометираните акаунти могат да изглеждат като легитимни отдалечени служители, което прави злонамерената активност по-трудна за забелязване.
  • Атакуващите могат да запазят достъп чрез откраднати идентификационни данни дори след като самото устройство бъде изчистено.

Ако се свързвате с работното си място чрез Connect Secure, практичният риск е, че данните ви за вход могат да бъдат изложени, без вие да сте направили нещо нередно.

Как да проверите дали вашето Connect Secure устройство е изложено

Ако управлявате Ivanti Connect Secure, приемете, че то е възможна цел, докато не получите доказателства за обратното. Няколко разумни проверки:

  1. Потвърдете изложеността си. Разберете дали устройството е достъпно от интернет и кой може да достигне до интерфейса му за управление. Всичко, което не е необходимо да бъде публично, не трябва да бъде.
  2. Следете съветите на Ivanti. Доставчикът е авторитетният източник за официални поправки, смекчаващи мерки и насоки за откриване, и тези подробности може да се променят с напредването на разследването.
  3. Използвайте инструментите за цялост на доставчика. Ако Ivanti предоставя проверка за цялост или подобен инструмент за вашия продукт, изпълнете го. Отнасяйте се с известна предпазливост към чист резултат, тъй като атакуващ с root права може да манипулира това, което устройството съобщава за себе си.
  4. Прегледайте логовете. Търсете необичайни входове, неочаквани административни промени, странни изходящи връзки и активност по автентикация в странни часове или от непознати местоположения.
  5. Попитайте вашия екип по сигурност или доставчик. Ако не сте администраторът, попитайте ги директно дали устройството е било проверено.

Стъпки за смекчаване: ротация на идентификационни данни, мониторинг и многослойна защита

Тъй като пач не може напълно да реши проблема с нулев ден, защитата трябва да бъде многослойна.

  • Ротирайте идентификационните данни. Ако компрометиране е възможно, сменете паролите за VPN потребителите, сервизните акаунти и всички тайни, съхранявани на или преминаващи през устройството. Направете това, след като сте защитили устройството, иначе новите идентификационни данни също може да бъдат прихванати.
  • Наложете многофакторна автентикация. Тя ограничава това, което откраднатите пароли сами по себе си могат да направят, макар да не е пълен отговор, ако атакуващият контролира самия шлюз.
  • Сегментирайте мрежата. VPN потребителите трябва да достигат само до системите, от които се нуждаят, така че компрометиран акаунт или устройство да не може да се движи свободно.
  • Мониторирайте непрекъснато. Изпращайте логовете на устройството към отделна система, която устройството не може да променя, и сигнализирайте при аномалии.
  • Планирайте преизграждане. Ако откриете признаци на компрометиране, следвайте насоките на доставчика за преизграждане на устройството, вместо да предполагате, че просто почистване е достатъчно.

Какво означава това за вас

Ако сте администратор, урокът е, че статусът на пачване не е същото като безопасност. Периферните устройства се нуждаят от мониторинг, ограничена изложеност и план за инциденти, а не само от ъпдейти. Ако сте VPN потребител в организация, която управлява Connect Secure, вие не контролирате устройството, но можете да смените паролата си, да активирате многофакторна автентикация, където се предлага, и да докладвате всичко необичайно, като неочаквани подкани за вход или предупреждения за сигурност.

Следващи стъпки

Прегледайте изложеността си на експлойта за нулев ден в Ivanti Connect Secure още днес: проверете кой може да достигне до устройството, прочетете най-новите насоки на Ivanti и ротирайте идентификационните данни, ако има някакъв признак на компрометиране. За контекст относно това как се разви времевата линия на разкриването и пачването, прочетете по-ранния ни доклад за това как Ivanti откри уязвимостта през юни, без да издаде поправка. Подробностите за тази верига от експлойти може да се променят с появата на повече информация, затова продължавайте да проверявате официалните източници.