Аппаратные и программные уязвимости в продукте Ivanti Connect Secure позволили злоумышленникам осуществить несанкционированный доступ к устройству, установленному на объекте критической инфраструктуры.
Описание
Центр по кибербезопасности и инфраструктуре (CISA)проанализировала три файла, полученные с устройства Ivanti Connect Secure, установленного на объекте критической инфраструктуры, после того как злоумышленники использовали CVE-2025-0282 для получения первоначального доступа. Один из файлов, который CISA называет RESURGE, имеет функциональность, аналогичную SPAWNCHIMERA, поскольку он создает туннель Secure Shell (SSH) для командно-административного управления (C2). RESURGE также содержит ряд команд, которые могут изменять файлы, манипулировать проверками целостности и создавать веб-оболочку, которая копируется на загрузочный диск работающего Ivanti.
Второй файл - это вариант SPAWNSLOTH, который содержался в образце RESURGE. Этот файл подменяет журналы устройств Ivanti.
Третий файл - это пользовательский встроенный двоичный файл, содержащий сценарий оболочки с открытым исходным кодом и подмножество апплетов из открытого инструмента BusyBox. Скрипт оболочки с открытым исходным кодом позволяет извлекать несжатый образ ядра (vmlinux) из скомпрометированного образа ядра. BusyBox позволяет злоумышленникам выполнять различные функции, например загружать и исполнять полезную нагрузку на скомпрометированных устройствах.
Indicators of Compromise
Technical report
