Łańcuch exploitów zero-day wymierzony w urządzenia VPN Ivanti Connect Secure został zaobserwowany w środowisku produkcyjnym, zgodnie z raportem firmy bezpieczeństwa Rescana. Zgłaszany wpływ jest poważny: nieuwierzytelnieni atakujący mogą osiągnąć zdalne wykonanie kodu na poziomie roota i wykraść poświadczenia, nawet na urządzeniach, które są w pełni załatane. Ta eksploatacja luki zero-day w Ivanti Connect Secure to przypomnienie, że brama VPN znajdująca się na krawędzi sieci jest jednym z najbardziej wartościowych celów, jaki może wybrać atakujący.

Raport źródłowy jest dla nas dostępny tylko częściowo, więc ten artykuł trzyma się tego, co potwierdzone, i unika spekulacji na temat szczegółów technicznych. Tam, gdzie oferujemy wskazówki, są to ogólne praktyki bezpieczeństwa, a nie instrukcje wydane przez producenta.

Dlaczego w pełni załatane urządzenie VPN zostało mimo to skompromitowane

Słowo „zero-day" wyjaśnia większość. Luka zero-day to podatność, którą atakujący wykorzystują, zanim istnieje poprawka, więc zainstalowanie wszystkich dostępnych aktualizacji nie chroni przed nią. W pełni załatane urządzenie jest chronione tylko przed problemami, które są już znane i naprawione.

Raport opisuje łańcuch exploitów, czyli kilka słabości połączonych ze sobą. Łańcuchy są powszechne w poważnych atakach, ponieważ jeden błąd rzadko daje pełną kontrolę sam w sobie. W połączeniu seria mniejszych wad może przenieść atakującego od braku jakiegokolwiek dostępu do pełnej kontroli nad urządzeniem, bez konieczności logowania.

Dla kontekstu dotyczącego chronologii, vpn.social już wcześniej omawiał wcześniejszą wiedzę Ivanti o części tej wady. W tym materiale Ivanti powiedziało, że zauważyło część defektu miesiące przed tym, zanim atakujący go wykorzystali, ale uznało, że nie spełnia on kryteriów dla wydania poza standardowym cyklem. Ta historia ma znaczenie, ponieważ pokazuje, jak długi może być odstęp między zauważeniem problemu przez producenta a otrzymaniem poprawki przez klientów.

Co dostęp na poziomie roota i kradzież poświadczeń oznaczają dla użytkowników

Root to najwyższy poziom uprawnień w systemie opartym na Linuksie. Atakujący z dostępem root na urządzeniu VPN nie jest ograniczony do tego, co mógłby zrobić zwykły użytkownik. Potencjalnie może odczytać lub zmienić wszystko, co obsługuje urządzenie, zmienić jego konfigurację i uruchomić własny kod.

Kradzież poświadczeń to część, która najbardziej dotyka zwykłych użytkowników. Urządzenie VPN przetwarza logowania pracowników, kontraktorów i partnerów. Jeśli atakujący może przechwycić te poświadczenia, szkody mogą rozprzestrzenić się daleko poza samo urządzenie:

  • Skradzione nazwy użytkowników i hasła mogą zostać ponownie użyte do uzyskania dostępu do systemów wewnętrznych, poczty e-mail i usług w chmurze.
  • Przejęte konta mogą wyglądać jak legalni pracownicy zdalni, co utrudnia zauważenie złośliwej aktywności.
  • Atakujący mogą utrzymać dostęp poprzez skradzione poświadczenia nawet po tym, jak samo urządzenie zostanie oczyszczone.

Jeśli łączysz się ze swoim miejscem pracy przez Connect Secure, praktyczne ryzyko polega na tym, że Twoje dane logowania mogą zostać ujawnione, nawet jeśli nie zrobiłeś niczego złego.

Jak sprawdzić, czy Twoje urządzenie Connect Secure jest narażone

Jeśli zarządzasz Ivanti Connect Secure, zakładaj, że jest możliwym celem, dopóki nie masz dowodów na przeciwnie. Kilka rozsądnych kontroli:

  1. Potwierdź swoje narażenie. Ustal, czy urządzenie jest osiągalne z internetu i kto może uzyskać dostęp do jego interfejsu zarządzania. Wszystko, co nie musi być publiczne, nie powinno być.
  2. Śledź biuletyny Ivanti. Producent jest autorytatywnym źródłem oficjalnych poprawek, środków zaradczych i wskazówek dotyczących wykrywania, a te szczegóły mogą się zmieniać w miarę kontynuowania dochodzenia.
  3. Użyj narzędzi integralności producenta. Jeśli Ivanti udostępnia narzędzie do sprawdzania integralności lub podobne narzędzie dla Twojego produktu, uruchom je. Do czystego wyniku podchodź z ostrożnością, ponieważ atakujący na poziomie roota może manipulować tym, co urządzenie raportuje o sobie.
  4. Przejrzyj logi. Szukaj nietypowych logowań, nieoczekiwanych zmian administracyjnych, dziwnych połączeń wychodzących oraz aktywności uwierzytelniania o nietypowych godzinach lub z nieznanych lokalizacji.
  5. Zapytaj swój zespół bezpieczeństwa lub dostawcę. Jeśli nie jesteś administratorem, zapytaj ich bezpośrednio, czy urządzenie zostało sprawdzone.

Kroki łagodzące: rotacja poświadczeń, monitorowanie i warstwowa obrona

Ponieważ poprawka nie może w pełni rozwiązać problemu zero-day, obrona musi być warstwowa.

  • Rotuj poświadczenia. Jeśli kompromitacja jest możliwa, zmień hasła dla użytkowników VPN, kont usługowych i wszelkich sekretów przechowywanych na urządzeniu lub przechodzących przez nie. Zrób to po zabezpieczeniu urządzenia, w przeciwnym razie nowe poświadczenia również mogą zostać przechwycone.
  • Wymuszaj uwierzytelnianie wieloskładnikowe. Ogranicza ono to, co same skradzione hasła mogą zrobić, choć nie jest pełną odpowiedzią, jeśli atakujący kontroluje samą bramę.
  • Segmentuj sieć. Użytkownicy VPN powinni mieć dostęp tylko do systemów, których potrzebują, aby przejęte konto lub urządzenie nie mogło się swobodnie przemieszczać.
  • Monitoruj w sposób ciągły. Wysyłaj logi urządzenia do oddzielnego systemu, którego urządzenie nie może zmienić, i ustaw alerty na anomalie.
  • Planuj odbudowę. Jeśli znajdziesz oznaki kompromitacji, postępuj zgodnie ze wskazówkami producenta dotyczącymi odbudowy urządzenia, zamiast zakładać, że proste oczyszczenie wystarczy.

Co to oznacza dla Ciebie

Jeśli jesteś administratorem, lekcja jest taka, że status załatania to nie to samo co bezpieczeństwo. Urządzenia brzegowe wymagają monitorowania, ograniczonego narażenia i planu reagowania na incydenty, a nie tylko aktualizacji. Jeśli jesteś użytkownikiem VPN w organizacji, która używa Connect Secure, nie kontrolujesz urządzenia, ale możesz zmienić swoje hasło, włączyć uwierzytelnianie wieloskładnikowe, tam gdzie jest oferowane, i zgłaszać wszystko, co dziwne, takie jak nieoczekiwane monity logowania lub alerty bezpieczeństwa.

Następne kroki

Sprawdź dziś swoje narażenie na eksploatację luki zero-day w Ivanti Connect Secure: ustal, kto może dotrzeć do urządzenia, przeczytaj najnowsze wskazówki Ivanti i rotuj poświadczenia, jeśli istnieje jakikolwiek znak kompromitacji. Aby poznać tło tego, jak przebiegała chronologia ujawnienia i łatanie, przeczytaj nasz wcześniejszy raport o tym, jak Ivanti znalazło wadę w czerwcu, nie wydając poprawki. Szczegóły tego łańcucha exploitów mogą się zmienić w miarę pojawiania się nowych informacji, więc regularnie sprawdzaj oficjalne źródła.