Prema izvješću sigurnosne tvrtke Rescana, lanac zero-day exploita koji cilja Ivanti Connect Secure VPN uređaje primijećen je u divljini. Prijavljeni učinak je ozbiljan: neautentificirani napadači mogu doći do izvršavanja koda na razini roota i ukrasti vjerodajnice, čak i na uređajima koji su potpuno zakrpani. Ovaj Ivanti Connect Secure zero-day exploit podsjetnik je da je VPN gateway koji se nalazi na rubu mreže jedan od najvrjednijih ciljeva koje napadač može odabrati.
Izvorno izvješće dostupno nam je samo djelomično, pa se ovaj članak drži onoga što je potvrđeno i izbjegava spekulacije o tehničkim pojedinostima. Gdje nudimo smjernice, to je opća sigurnosna praksa, a ne upute koje je izdao proizvođač.
Zašto je potpuno zakrpan VPN uređaj ipak bio kompromitiran
Riječ "zero-day" objašnjava većinu toga. Zero-day je ranjivost koju napadači iskorištavaju prije nego što rješenje postoji, pa instaliranje svih dostupnih ažuriranja ne štiti od nje. Potpuno zakrpan uređaj zaštićen je samo od problema koji su već poznati i riješeni.
Izvješće opisuje lanac exploita, što znači nekoliko ranjivosti povezanih zajedno. Lanci su česti u ozbiljnim napadima jer jedan bug rijetko sam po sebi daje potpunu kontrolu. U kombinaciji, niz manjih ranjivosti može napadača odvesti od nikakvog pristupa do potpune kontrole nad uređajem, bez potrebe za prijavom.
Za kontekst o vremenskom slijedu, vpn.social je već izvijestio o Ivantijevom ranijem saznanju o dijelu ranjivosti. U tom izvješću Ivanti je rekao da je uočio dio defekta mjesecima prije nego što su ga napadači iskoristili, ali je procijenio da ne zadovoljava kriterije za izdavanje izvan redovnog ciklusa. Ta povijest je važna jer pokazuje koliko dugo može biti razmak između trenutka kada proizvođač primijeti problem i trenutka kada korisnici dobiju rješenje.
Što root pristup i krađa vjerodajnica znače za korisnike
Root je najviša razina privilegija na Linux-baziranom sustavu. Napadač s root pristupom na VPN uređaju nije ograničen na ono što bi mogao raditi obični korisnik. Potencijalno može čitati ili mijenjati sve što uređaj obrađuje, mijenjati njegovu konfiguraciju i pokretati vlastiti kod.
Krađa vjerodajnica dio je koji najviše pogađa obične korisnike. VPN uređaj obrađuje prijave zaposlenika, vanjskih suradnika i partnera. Ako napadač može uhvatiti te vjerodajnice, šteta se može proširiti daleko izvan samog uređaja:
- Ukradena korisnička imena i lozinke mogu se ponovno upotrijebiti za pristup internim sustavima, e-pošti i cloud uslugama.
- Kompromitirani računi mogu izgledati kao legitimni radnici na daljinu, što zlonamjerne aktivnosti čini teže uočljivima.
- Napadači mogu zadržati pristup putem ukradenih vjerodajnica čak i nakon što se sam uređaj očisti.
Ako se na svoje radno mjesto povezujete putem Connect Securea, praktični rizik je da bi vaši podaci za prijavu mogli biti izloženi bez da ste učinili bilo što pogrešno.
Kako provjeriti je li vaš Connect Secure uređaj izložen
Ako upravljate Ivanti Connect Secureom, pretpostavite da je moguća meta dok ne dobijete dokaz suprotno. Nekoliko razumnih provjera:
- Potvrdite svoju izloženost. Utvrdite je li uređaj dostupan s interneta i kome je dostupno njegovo sučelje za upravljanje. Sve što ne mora biti javno ne bi trebalo biti.
- Pratite Ivantijeve savjete. Proizvođač je mjerodavan izvor za službena rješenja, ublažavanja i smjernice za otkrivanje, a ti se detalji mogu mijenjati kako istraga napreduje.
- Koristite alate proizvođača za provjeru integriteta. Ako Ivanti nudi alat za provjeru integriteta ili sličan alat za vaš proizvod, pokrenite ga. Na čist rezultat gledajte s određenim oprezom, jer napadač na razini roota može manipulirati onim što uređaj izvješćuje o sebi.
- Pregledajte zapise. Potražite neuobičajene prijave, neočekivane administrativne promjene, čudne odlazne veze i aktivnosti autentifikacije u neobično vrijeme ili s nepoznatih lokacija.
- Pitajte svoj sigurnosni tim ili pružatelja usluge. Ako niste administrator, pitajte ih izravno je li uređaj provjeren.
Koraci za ublažavanje: rotirajte vjerodajnice, nadzirite i slojevito branite
Budući da zakrpa ne može u potpunosti riješiti problem zero-dayja, obrana mora biti slojevita.
- Rotirajte vjerodajnice. Ako je kompromitacija moguća, promijenite lozinke za VPN korisnike, servisne račune i sve tajne podatke pohranjene na uređaju ili koji prolaze kroz njega. Učinite to nakon što ste osigurali uređaj, inače bi i nove vjerodajnice mogle biti uhvaćene.
- Nametnite višefaktorsku autentifikaciju. Ona ograničava što same ukradene lozinke mogu učiniti, iako nije potpuno rješenje ako napadač kontrolira sam gateway.
- Segmentirajte mrežu. VPN korisnici trebaju dosezati samo sustave koji su im potrebni, kako se kompromitirani račun ili uređaj ne bi mogli slobodno kretati.
- Nadzirite kontinuirano. Šaljite zapise uređaja na odvojeni sustav koji uređaj ne može mijenjati i postavite alarme na anomalije.
- Planirajte ponovnu izgradnju. Ako pronađete znakove kompromitacije, slijedite smjernice proizvođača o ponovnoj izgradnji uređaja umjesto da pretpostavite da je jednostavno čišćenje dovoljno.
Što to znači za vas
Ako ste administrator, pouka je da status zakrpe nije isto što i sigurnost. Rubni uređaji trebaju nadzor, ograničenu izloženost i plan za incidente, a ne samo ažuriranja. Ako ste VPN korisnik u organizaciji koja koristi Connect Secure, ne kontrolirate uređaj, ali možete promijeniti svoju lozinku, omogućiti višefaktorsku autentifikaciju gdje je ponuđena i prijaviti sve neobično, poput neočekivanih upita za prijavu ili sigurnosnih upozorenja.
Sljedeći koraci
Pregledajte svoju izloženost Ivanti Connect Secure zero-day exploitu još danas: provjerite kome je uređaj dostupan, pročitajte najnovije Ivantijeve smjernice i rotirajte vjerodajnice ako postoji bilo kakav znak kompromitacije. Za kontekst o tome kako su se odvijali objava i vremenski slijed zakrpavanja, pročitajte naše ranije izvješće o Ivantijevom pronalasku ranjivosti u lipnju bez izdavanja rješenja. Detalji ovog lanca exploita mogu se promijeniti kako se bude pojavljivalo više informacija, stoga nastavite provjeravati službene izvore.
