Ланцюжок експлойтів нульового дня, націлений на VPN-пристрої Ivanti Connect Secure, було зафіксовано в реальних умовах, згідно зі звітом компанії з кібербезпеки Rescana. Заявлений вплив є серйозним: неавтентифіковані зловмисники можуть досягти віддаленого виконання коду з правами root і викрасти облікові дані, навіть на пристроях, які повністю оновлені. Цей експлойт нульового дня в Ivanti Connect Secure є нагадуванням про те, що VPN-шлюз, розташований на периметрі мережі, є однією з найцінніших цілей, яку може обрати зловмисник.
Вихідний звіт доступний нам лише частково, тому ця стаття дотримується лише підтверджених фактів і уникає спекуляцій щодо технічних деталей. Там, де ми надаємо рекомендації, це загальноприйняті практики безпеки, а не інструкції від виробника.
Чому повністю оновлений VPN-пристрій все одно було скомпрометовано
Слово «нульовий день» багато що пояснює. Нульовий день — це вразливість, яку зловмисники використовують до появи виправлення, тому встановлення всіх доступних оновлень не захищає від неї. Повністю оновлений пристрій захищений лише від проблем, які вже відомі та виправлені.
У звіті описано ланцюжок експлойтів, тобто кілька слабких місць, пов'язаних між собою. Ланцюжки є поширеними в серйозних атаках, оскільки одна помилка рідко дає повний контроль сама по собі. У сукупності низка менших вразливостей може провести зловмисника від повної відсутності доступу до повного контролю над пристроєм без необхідності входу.
Для контексту щодо часу, vpn.social вже висвітлював ранішу обізнаність Ivanti про частину вразливості. У тому матеріалі Ivanti заявила, що виявила частину дефекту за місяці до того, як зловмисники його використали, але вирішила, що він не відповідає критеріям для позапланового випуску. Ця історія важлива, оскільки показує, наскільки тривалим може бути розрив між виявленням проблеми виробником і отриманням виправлення клієнтами.
Що означає доступ root і викрадення облікових даних для користувачів
Root — це найвищий рівень привілеїв у системах на базі Linux. Зловмисник із правами root на VPN-пристрої не обмежений тим, що міг би зробити звичайний користувач. Він потенційно може читати або змінювати все, що обробляє пристрій, змінювати його конфігурацію та запускати власний код.
Викрадення облікових даних — це та частина, яка найбільше впливає на звичайних користувачів. VPN-пристрій обробляє входи до системи для співробітників, підрядників і партнерів. Якщо зловмисник може перехопити ці облікові дані, шкода може поширитися далеко за межі пристрою:
- Викрадені імена користувачів і паролі можна повторно використати для доступу до внутрішніх систем, електронної пошти та хмарних сервісів.
- Скомпрометовані акаунти можуть виглядати як легітимні віддалені працівники, що ускладнює виявлення шкідливої активності.
- Зловмисники можуть зберігати доступ через викрадені облікові дані навіть після очищення самого пристрою.
Якщо ви підключаєтеся до свого робочого місця через Connect Secure, практичний ризик полягає в тому, що ваші дані для входу можуть бути розкриті без жодних дій з вашого боку.
Як перевірити, чи ваш пристрій Connect Secure є вразливим
Якщо ви використовуєте Ivanti Connect Secure, вважайте його можливою ціллю, доки не матимете доказів протилежного. Кілька розумних перевірок:
- Підтвердьте свою експозицію. З'ясуйте, чи доступний пристрій з інтернету і хто може отримати доступ до його інтерфейсу управління. Усе, що не повинно бути публічним, не повинно бути публічним.
- Стежте за повідомленнями Ivanti. Виробник є авторитетним джерелом офіційних виправлень, заходів пом'якшення та рекомендацій щодо виявлення, і ці деталі можуть змінюватися в міру продовження розслідування.
- Використовуйте інструменти цілісності від виробника. Якщо Ivanti надає перевірку цілісності або подібний інструмент для вашого продукту, запустіть його. Ставтеся до чистого результату з певною обережністю, оскільки зловмисник із правами root може підробити те, що пристрій повідомляє про себе.
- Перегляньте журнали. Шукайте незвичайні входи, неочікувані адміністративні зміни, дивні вихідні з'єднання та активність автентифікації в дивні години або з незнайомих місць.
- Запитайте свою команду з безпеки або провайдера. Якщо ви не адміністратор, запитайте їх безпосередньо, чи перевірявся пристрій.
Кроки пом'якшення: ротація облікових даних, моніторинг і багаторівневий захист
Оскільки виправлення не може повністю вирішити проблему нульового дня, захист має бути багаторівневим.
- Ротуйте облікові дані. Якщо компрометація можлива, змініть паролі для користувачів VPN, службових акаунтів і всіх секретів, що зберігаються на пристрої або проходять через нього. Зробіть це після того, як захистите пристрій, інакше нові облікові дані також можуть бути перехоплені.
- Впровадьте багатофакторну автентифікацію. Вона обмежує те, що можуть зробити самі лише викрадені паролі, хоча це не є повним рішенням, якщо зловмисник контролює сам шлюз.
- Сегментуйте мережу. Користувачі VPN повинні мати доступ лише до тих систем, які їм потрібні, щоб скомпрометований акаунт або пристрій не міг вільно переміщатися.
- Моніторте безперервно. Надсилайте журнали пристрою до окремої системи, яку пристрій не може змінити, і налаштуйте оповіщення про аномалії.
- Плануйте перебудову. Якщо ви виявите ознаки компрометації, дотримуйтесь рекомендацій виробника щодо перебудови пристрою, а не припускайте, що простого очищення достатньо.
Що це означає для вас
Якщо ви адміністратор, урок полягає в тому, що статус оновлення не є тим самим, що безпека. Пристрої на периметрі потребують моніторингу, обмеженої експозиції та плану реагування на інциденти, а не лише оновлень. Якщо ви користувач VPN в організації, яка використовує Connect Secure, ви не контролюєте пристрій, але можете змінити свій пароль, увімкнути багатофакторну автентифікацію, де вона пропонується, і повідомляти про будь-що дивне, наприклад, неочікувані запити на вхід або сповіщення безпеки.
Наступні кроки
Перегляньте свою експозицію до експлойту нульового дня в Ivanti Connect Secure вже сьогодні: перевірте, хто може отримати доступ до пристрою, прочитайте останні рекомендації Ivanti та ротуйте облікові дані, якщо є будь-які ознаки компрометації. Для ознайомлення з тим, як розгортався графік розкриття та виправлення, прочитайте наш попередній звіт про виявлення Ivanti вразливості в червні без випуску виправлення. Деталі цього ланцюжка експлойтів можуть змінитися в міру появи нової інформації, тому продовжуйте перевіряти офіційні джерела.
