Một chuỗi khai thác zero-day nhắm vào các thiết bị VPN Ivanti Connect Secure đã được quan sát thấy trong thực tế, theo báo cáo từ công ty bảo mật Rescana. Tác động được báo cáo rất nghiêm trọng: kẻ tấn công chưa xác thực có thể đạt được thực thi mã từ xa ở cấp root và đánh cắp thông tin đăng nhập, ngay cả trên các thiết bị đã được vá đầy đủ. Khai thác zero-day Ivanti Connect Secure này là lời nhắc nhở rằng một cổng VPN nằm ở rìa mạng là một trong những mục tiêu giá trị nhất mà kẻ tấn công có thể chọn.
Báo cáo nguồn chỉ có sẵn một phần cho chúng tôi, vì vậy bài viết này chỉ dựa trên những gì đã được xác nhận và tránh suy đoán về các chi tiết kỹ thuật. Khi chúng tôi đưa ra hướng dẫn, đó là thực hành bảo mật chung chứ không phải hướng dẫn do nhà cung cấp ban hành.
Tại sao một thiết bị VPN đã được vá đầy đủ vẫn bị xâm phạm
Từ "zero-day" giải thích phần lớn điều đó. Zero-day là một lỗ hổng mà kẻ tấn công khai thác trước khi bản sửa lỗi tồn tại, vì vậy việc cài đặt mọi bản cập nhật có sẵn không bảo vệ được chống lại nó. Một thiết bị đã được vá đầy đủ chỉ được bảo vệ chống lại những vấn đề đã được biết và đã được sửa.
Báo cáo mô tả một chuỗi khai thác, nghĩa là nhiều điểm yếu được liên kết với nhau. Chuỗi khai thác phổ biến trong các cuộc tấn công nghiêm trọng vì một lỗi hiếm khi tự nó mang lại toàn quyền kiểm soát. Khi kết hợp lại, một loạt các lỗ hổng nhỏ hơn có thể đưa kẻ tấn công từ không có quyền truy cập nào đến toàn quyền kiểm soát thiết bị, mà không cần đăng nhập.
Để có bối cảnh về thời gian, vpn.social đã đưa tin về việc Ivanti biết trước một phần lỗ hổng. Trong bài đưa tin đó, Ivanti cho biết họ đã phát hiện một phần khiếm khuyết vài tháng trước khi kẻ tấn công sử dụng nó, nhưng đánh giá rằng nó không đáp ứng tiêu chuẩn cho một bản phát hành ngoài lịch trình. Lịch sử đó quan trọng vì nó cho thấy khoảng cách có thể kéo dài bao lâu giữa việc nhà cung cấp phát hiện vấn đề và khách hàng nhận được bản sửa lỗi.
Quyền truy cập root và đánh cắp thông tin đăng nhập có ý nghĩa gì đối với người dùng
Root là cấp đặc quyền cao nhất trên hệ thống dựa trên Linux. Kẻ tấn công có quyền root trên thiết bị VPN không bị giới hạn ở những gì người dùng bình thường có thể làm. Chúng có khả năng đọc hoặc thay đổi bất cứ thứ gì thiết bị xử lý, thay đổi cấu hình của nó và chạy mã của riêng chúng.
Đánh cắp thông tin đăng nhập là phần ảnh hưởng đến người dùng bình thường nhiều nhất. Một thiết bị VPN xử lý đăng nhập cho nhân viên, nhà thầu và đối tác. Nếu kẻ tấn công có thể thu thập những thông tin đăng nhập đó, thiệt hại có thể lan rộng ra ngoài thiết bị:
- Tên người dùng và mật khẩu bị đánh cắp có thể được sử dụng lại để truy cập các hệ thống nội bộ, email và dịch vụ đám mây.
- Các tài khoản bị xâm phạm có thể trông giống như nhân viên làm việc từ xa hợp pháp, khiến hoạt động độc hại khó bị phát hiện hơn.
- Kẻ tấn công có thể duy trì quyền truy cập thông qua thông tin đăng nhập bị đánh cắp ngay cả sau khi thiết bị đã được làm sạch.
Nếu bạn kết nối với nơi làm việc thông qua Connect Secure, rủi ro thực tế là thông tin đăng nhập của bạn có thể bị lộ mà bạn không làm gì sai.
Cách kiểm tra xem thiết bị Connect Secure của bạn có bị phơi nhiễm không
Nếu bạn vận hành Ivanti Connect Secure, hãy cho rằng nó là mục tiêu khả thi cho đến khi bạn có bằng chứng ngược lại. Một vài kiểm tra hợp lý:
- Xác nhận mức độ phơi nhiễm của bạn. Tìm hiểu xem thiết bị có thể truy cập được từ internet không và ai có thể truy cập giao diện quản trị của nó. Bất cứ thứ gì không cần phải công khai thì không nên công khai.
- Theo dõi các khuyến cáo của Ivanti. Nhà cung cấp là nguồn có thẩm quyền cho các bản sửa lỗi chính thức, biện pháp giảm thiểu và hướng dẫn phát hiện, và những chi tiết đó có thể thay đổi khi cuộc điều tra tiếp tục.
- Sử dụng các công cụ toàn vẹn của nhà cung cấp. Nếu Ivanti cung cấp công cụ kiểm tra tính toàn vẹn hoặc công cụ tương tự cho sản phẩm của bạn, hãy chạy nó. Hãy thận trọng với kết quả sạch, vì kẻ tấn công ở cấp root có thể can thiệp vào những gì thiết bị báo cáo về chính nó.
- Xem xét nhật ký. Tìm kiếm các đăng nhập bất thường, thay đổi quản trị không mong đợi, kết nối ra ngoài kỳ lạ và hoạt động xác thực vào những giờ kỳ lạ hoặc từ các vị trí không quen thuộc.
- Hỏi nhóm bảo mật hoặc nhà cung cấp của bạn. Nếu bạn không phải là quản trị viên, hãy hỏi trực tiếp họ liệu thiết bị đã được kiểm tra chưa.
Các bước giảm thiểu: xoay vòng thông tin đăng nhập, giám sát và phân lớp phòng thủ
Vì bản vá không thể giải quyết hoàn toàn vấn đề zero-day, phòng thủ phải được phân lớp.
- Xoay vòng thông tin đăng nhập. Nếu có thể bị xâm phạm, hãy thay đổi mật khẩu cho người dùng VPN, tài khoản dịch vụ và bất kỳ bí mật nào được lưu trữ trên hoặc đi qua thiết bị. Thực hiện điều này sau khi bạn đã bảo secured thiết bị, nếu không thông tin đăng nhập mới cũng có thể bị thu thập.
- Thực thi xác thực đa yếu tố. Nó giới hạn những gì mật khẩu bị đánh cắp một mình có thể làm, mặc dù nó không phải là câu trả lời hoàn chỉnh nếu kẻ tấn công kiểm soát chính cổng vào.
- Phân đoạn mạng. Người dùng VPN chỉ nên truy cập các hệ thống họ cần, để một tài khoản hoặc thiết bị bị xâm phạm không thể di chuyển tự do.
- Giám sát liên tục. Gửi nhật ký thiết bị đến một hệ thống riêng biệt mà thiết bị không thể thay đổi, và cảnh báo về các bất thường.
- Lên kế hoạch xây dựng lại. Nếu bạn tìm thấy dấu hiệu xâm phạm, hãy tuân theo hướng dẫn của nhà cung cấp về việc xây dựng lại thiết bị thay vì cho rằng một lần dọn dẹp đơn giản là đủ.
Điều này có ý nghĩa gì đối với bạn
Nếu bạn là quản trị viên, bài học là trạng thái vá không giống như an toàn. Các thiết bị ở rìa cần được giám sát, hạn chế phơi nhiễm và có kế hoạch xử lý sự cố, không chỉ cập nhật. Nếu bạn là người dùng VPN tại một tổ chức vận hành Connect Secure, bạn không kiểm soát thiết bị, nhưng bạn có thể thay đổi mật khẩu, bật xác thực đa yếu tố khi được cung cấp và báo cáo bất cứ điều gì kỳ lạ, chẳng hạn như lời nhắc đăng nhập bất ngờ hoặc cảnh báo bảo mật.
Các bước tiếp theo
Hãy đánh giá mức độ phơi nhiễm khai thác zero-day Ivanti Connect Secure của bạn ngay hôm nay: kiểm tra ai có thể truy cập thiết bị, đọc hướng dẫn mới nhất của Ivanti và xoay vòng thông tin đăng nhập nếu có bất kỳ dấu hiệu xâm phạm nào. Để biết bối cảnh về cách tiến trình công bố và vá lỗi diễn ra, hãy đọc báo cáo trước đó của chúng tôi về việc Ivanti phát hiện lỗ hổng vào tháng Sáu mà không đưa ra bản sửa lỗi. Chi tiết của chuỗi khai thác này có thể thay đổi khi có thêm thông tin, vì vậy hãy tiếp tục kiểm tra các nguồn chính thức.
