Согласно отчёту компании по безопасности Rescana, цепочка эксплойтов нулевого дня, нацеленная на VPN-устройства Ivanti Connect Secure, была замечена в реальных атаках. Сообщаемый ущерб серьёзен: неаутентифицированные атакующие могут достичь удалённого выполнения кода на уровне root и украсть учётные данные даже на устройствах, которые полностью пропатчены. Этот эксплойт нулевого дня в Ivanti Connect Secure — напоминание о том, что VPN-шлюз на периметре сети является одной из самых ценных целей, которые может выбрать атакующий.

Исходный отчёт доступен нам лишь частично, поэтому данная статья придерживается подтверждённых фактов и избегает спекуляций о технических деталях. Там, где мы даём рекомендации, это общие практики безопасности, а не инструкции от производителя.

Почему полностью пропатченное VPN-устройство всё равно было скомпрометировано

Слово «нулевой день» объясняет большую часть. Нулевой день — это уязвимость, которую атакующие эксплуатируют до появления исправления, поэтому установка всех доступных обновлений не защищает от неё. Полностью пропатченное устройство защищено только от проблем, которые уже известны и исправлены.

В отчёте описывается цепочка эксплойтов, то есть несколько слабых мест, связанных вместе. Цепочки распространены в серьёзных атаках, поскольку одна ошибка редко даёт полный контроль сама по себе. В совокупности ряд меньших уязвимостей может провести атакующего от полного отсутствия доступа к полному контролю над устройством без необходимости входа в систему.

Для контекста по времени: vpn.social уже освещал ранее известную Ivanti часть уязвимости. В том материале Ivanti сообщила, что обнаружила часть дефекта за месяцы до того, как атакующие его использовали, но решила, что он не соответствует критериям для внепланового выпуска. Эта история важна, потому что показывает, насколько долгим может быть разрыв между моментом, когда производитель замечает проблему, и моментом, когда клиенты получают исправление.

Что означают root-доступ и кража учётных данных для пользователей

Root — это наивысший уровень привилегий в системе на базе Linux. Атакующий с root на VPN-устройстве не ограничен тем, что мог бы делать обычный пользователь. Он потенциально может читать или изменять всё, что обрабатывает устройство, менять его конфигурацию и запускать собственный код.

Кража учётных данных — это та часть, которая больше всего затрагивает обычных пользователей. VPN-устройство обрабатывает входы в систему для сотрудников, подрядчиков и партнёров. Если атакующий может перехватить эти учётные данные, ущерб может распространиться далеко за пределы устройства:

  • Украденные имена пользователей и пароли можно повторно использовать для доступа к внутренним системам, электронной почте и облачным сервисам.
  • Скомпрометированные учётные записи могут выглядеть как легитимные удалённые сотрудники, что затрудняет обнаружение вредоносной активности.
  • Атакующие могут сохранять доступ через украденные учётные данные даже после того, как само устройство будет очищено.

Если вы подключаетесь к рабочей сети через Connect Secure, практический риск заключается в том, что ваши учётные данные могут быть раскрыты без каких-либо действий с вашей стороны.

Как проверить, подвержено ли ваше устройство Connect Secure риску

Если вы используете Ivanti Connect Secure, считайте его возможной целью, пока не получите доказательств обратного. Несколько разумных проверок:

  1. Подтвердите вашу экспозицию. Выясните, доступно ли устройство из интернета и кто может получить доступ к его интерфейсу управления. Всё, что не должно быть публичным, не должно быть публичным.
  2. Следите за рекомендациями Ivanti. Производитель является авторитетным источником официальных исправлений, мер защиты и рекомендаций по обнаружению, и эти детали могут меняться по мере продолжения расследования.
  3. Используйте инструменты проверки целостности от производителя. Если Ivanti предоставляет проверку целостности или аналогичный инструмент для вашего продукта, запустите его. Отнеситесь к чистому результату с некоторой осторожностью, поскольку атакующий уровня root может подделать то, что устройство сообщает о себе.
  4. Проверьте журналы. Ищите необычные входы в систему, неожиданные административные изменения, странные исходящие соединения и активность аутентификации в необычные часы или из незнакомых мест.
  5. Спросите вашу команду безопасности или провайдера. Если вы не администратор, спросите их напрямую, проверялось ли устройство.

Меры по снижению риска: ротация учётных данных, мониторинг и многоуровневая защита

Поскольку патч не может полностью решить проблему нулевого дня, защита должна быть многоуровневой.

  • Ротируйте учётные данные. Если компрометация возможна, смените пароли для пользователей VPN, сервисных учётных записей и любых секретов, хранящихся на устройстве или проходящих через него. Сделайте это после того, как обезопасите устройство, иначе новые учётные данные тоже могут быть перехвачены.
  • Внедрите многофакторную аутентификацию. Она ограничивает то, что можно сделать с помощью одних лишь украденных паролей, хотя и не является полным решением, если атакующий контролирует сам шлюз.
  • Сегментируйте сеть. Пользователи VPN должны иметь доступ только к тем системам, которые им необходимы, чтобы скомпрометированная учётная запись или устройство не могли свободно перемещаться.
  • Мониторьте непрерывно. Отправляйте журналы устройства в отдельную систему, которую устройство не может изменить, и настраивайте оповещения об аномалиях.
  • Планируйте пересборку. Если вы обнаружите признаки компрометации, следуйте рекомендациям производителя по пересборке устройства, а не полагайтесь на то, что простой очистки достаточно.

Что это значит для вас

Если вы администратор, урок в том, что статус патча — это не то же самое, что безопасность. Периметровые устройства нуждаются в мониторинге, ограничении экспозиции и плане реагирования на инциденты, а не только в обновлениях. Если вы пользователь VPN в организации, использующей Connect Secure, вы не контролируете устройство, но вы можете сменить пароль, включить многофакторную аутентификацию там, где она предлагается, и сообщать о любых странностях, таких как неожиданные запросы на вход или предупреждения безопасности.

Следующие шаги

Проверьте вашу подверженность эксплойту нулевого дня в Ivanti Connect Secure сегодня: проверьте, кто может получить доступ к устройству, прочитайте последние рекомендации Ivanti и ротируйте учётные данные при любых признаках компрометации. Для контекста о том, как разворачивалась хронология раскрытия и патчинга, читайте наш предыдущий отчёт о том, как Ivanti обнаружила уязвимость в июне, не выпустив исправление. Детали этой цепочки эксплойтов могут измениться по мере появления новой информации, поэтому продолжайте проверять официальные источники.