عاملان تهدید با بهره‌برداری از زنجیره‌ای از آسیب‌پذیری‌های زیرو دِی (Zero-Day) در تجهیزات VPN مدل Ivanti Connect Secure (ICS)، موفق شدند دسترسی سطح Root به سیستم به دست آورده، اعتبارنامه‌ها (Credentials) را سرقت کنند و شبکه‌های داخلی را مورد شناسایی قرار دهند.
جزئیات شناسایی و عامل تهدید
شرکت Volexity این مهاجم ناشناس را تحت نام UTA0576 شناسایی کرده است. بررسی‌ها نشان می‌دهد که این حملات از تاریخ ۳ اکتبر ۲۰۲۶ آغاز شده و حتی تجهیزاتی که در آن زمان به‌روزرسانی شده بودند نیز مورد هدف قرار گرفته‌اند.
در به‌روزرسانی‌های امنیتی مورخ ۲۹ اکتبر، شرکت Ivanti سه آسیب‌پذیری کلیدی را در این حملات شناسایی کرد:
- CVE-2026-104935: مربوط به دور زدن احراز هویت و اجرای کد از راه دور (RCE) با امتیاز CVSS 8.6.
- CVE-2026-111357: مربوط به افزایش سطح دسترسی (Privilege Escalation) با امتیاز CVSS 8.8.
- CVE-2026-118527: مربوط به آپلود فایل با نام‌های قابل پیش‌بینی با امتیاز CVSS 4.3.
تحلیل فنی زنجیره حمله
مراحل نفوذ UTA0576 به شرح زیر بوده است:
۱. دور زدن احراز هویت: مهاجمان با بهره‌برداری از ناهماهنگی در مدیریت درخواست‌ها بین نقطه ورود عمومی (Login Endpoint) و مسیریابی CGI در پس‌زمینه، توانستند بدون داشتن اعتبارنامه معتبر به اسکریپت‌های محافظت‌شده در welcome.cgi دسترسی پیدا کنند.
۲. آپلود و اجرای کد: در مرحله بعد، مهاجم از هندلر آپلود wu.cgi سوءاستفاده کرد تا یک اسکریپت مخرب Perl را روی دیسک بنویسد. پیش از آنکه سیستم متوجه غیرقانونی بودن فایل ZIP شود، اسکریپت مذکور تحت حساب کاربری cgi-server اجرا شد.
۳. کسب دسترسی Root: در نهایت، مهاجم با هدف قرار دادن سرویس دارای امتیاز dsinvoked و تغییر موقت یک کتابخانه در حافظه (In-memory library)، توانست کدهای مخرب خود را با سطح دسترسی Root اجرا کند. پس از اجرای عملیات، وضعیت حافظه و پیکربندی‌ها به حالت اول بازگردانده شد تا ردپایی باقی نماند.
فعالیت‌های پس از نفوذ و سرقت داده‌ها
پس از کنترل کامل دستگاه، UTA0576 اعتبارنامه‌های سیستم را استخراج کرده و با استفاده از یک حساب سرویس Active Directory، اطلاعات حساسی از جمله موارد زیر را جستجو کرد:
- رمزهای عبور مدیران در Windows LAPS.
- کلیدهای بازیابی BitLocker.
- متادیتای حساب‌های کاربری و ویژگی‌های حاوی رمز عبور.
این عامل تهدید از ابزارهای سفارشی Python برای کوئری‌های LDAP و تست اعتبارنامه‌های Kerberos استفاده کرد. همچنین عملیات Password Spraying و شناسایی DNS داخلی برای گسترش نفوذ در شبکه مشاهده شده است.
ویژگی‌های خاص و پنهان‌کاری
برخلاف حملات قبلی به Ivanti که از Web Shell یا بدافزارهایی مانند DslogdRAT استفاده می‌کردند، این عملیات هیچ‌گونه Backdoor پایداری را روی دیسک ایجاد نکرد. تمامی دستورات و نتایج از طریق درخواست‌های HTTPS ارسال می‌شدند. همچنین مهاجم با پاک کردن انتخابی لاگ‌های Debug و Audit لینوکس، شناسایی خود را دشوار کرد.
توصیه‌های امنیتی و رفع آسیب‌پذیری
شرکت Ivanti اعلام کرده است که نسخه‌های 25.1.1.3 و 22.8R2.6 این آسیب‌پذیری‌ها را برطرف کرده‌اند. به مدیران امنیت توصیه می‌شود:
- سریعاً تجهیزات خود را به آخرین نسخه به‌روزرسانی کنند.
- فعالیت‌های مشکوک در تجهیزات VPN را بررسی کرده و اعتبارنامه‌های حساب‌های سرویس (Service Accounts) را بازبینی کنند.
- به یاد داشته باشند که نتیجه مثبت Integrity Check به تنهایی تضمین‌کننده عدم نفوذ نیست، زیرا تغییرات در سطح حافظه ردپایی روی دیسک نمی‌گذارند.
