China-Nexus активно эксплуатирует уязвимость Ivanti Endpoint Manager Mobile (CVE-2025-4428)

15 мая 2025 года компания Ivanti раскрыла две критические уязвимости — CVE-2025-4427 и CVE-2025-4428 — в системе управления мобильными устройствами Ivanti Endpoint Manager Mobile (EPMM) версии 12.5.0.0 и более ранних. Эти уязвимости позволяют злоумышленникам выполнять произвольный код на уязвимых системах без аутентификации.

Описание

Аналитики EclecticIQ зафиксировали активные атаки с использованием этой связки уязвимостей. Первые случаи эксплуатации были отмечены уже 15 мая. Под удар попали организации из критически важных секторов, включая здравоохранение, телекоммуникации, авиацию, государственные учреждения, финансы и оборону в Европе, Северной Америке и Азиатско-Тихоокеанском регионе.

С высокой степенью уверенности атаки связывают с группой UNC5221, связанной с китайскими спецслужбами. Злоумышленники демонстрируют глубокое понимание архитектуры EPMM, используя легальные компоненты системы для скрытого сбора данных. Среди похищенной информации — персональные данные пользователей, учетные записи и токены аутентификации, которые могут использоваться для перемещения внутри корпоративных сетей.

Учитывая роль EPMM в управлении мобильными устройствами, успешная атака позволяет злоумышленникам удаленно контролировать тысячи корпоративных гаджетов. Ivanti выпустила заплатки и настоятельно рекомендует клиентам как можно скорее обновить систему.

Злоумышленники получали доступ к системам через уязвимость в API EPMM, отправляя специально сформированные HTTP-запросы с Java-командами. Эти команды позволяли выполнять произвольные инструкции на сервере, включая загрузку и запуск вредоносного ПО.

Для закрепления в системе использовался троян KrustyLoader, который загружал вторую стадию атаки — бекдор Sliver. Этот инструмент предоставляет злоумышленникам полный контроль над зараженной системой.

Кроме того, хакеры использовали встроенные учетные данные MySQL для доступа к базе данных EPMM, извлекая конфиденциальную информацию, такую как данные мобильных устройств, токены Office 365 и учетные записи LDAP.

Для перемещения внутри сети применялся инструмент FRP (Fast Reverse Proxy), позволяющий создавать скрытые каналы связи. Анализ логов показал, что злоумышленники проводили разведку с помощью стандартных Linux-утилит, а результаты сохраняли во временные файлы для последующей передачи.