Kitajsko-povezana APT skupina izkorišča ranljivost v Ivanti Connect Secure VPN za vdor v več organizacij
Kibernetsko-obveščevalne grožnje
Naslednji blog zapis temelji na poročilu ekipe TeamT5 Vulnerability Research Team. Za več informacij o tej ranljivosti, podrobnejše smernice za odziv ter pomoč pri zaščiti in krepitvi kibernetske varnosti vaših informacijskih sistemov nas lahko kontaktirate na info@cyber-sec.si. Naša ekipa strokovnjakov vam lahko pomaga pri izvedbi varnostnih pregledov, odkrivanju morebitnih kompromitacij, implementaciji zaščitnih ukrepov ter vzpostavitvi dolgoročne strategije za zmanjšanje kibernetskih tveganj.
V poznem marcu je bilo zaznano, da je kitajsko-povezana APT skupina izkoristila kritično ranljivost v napravah Ivanti Connect Secure VPN za vdor v več organizacij po vsem svetu. Med žrtvami je skoraj dvajset različnih industrij v dvanajstih državah. Menimo, da je napadalec v času analize še vedno ohranjal nadzor nad omrežji žrtev.
Žrtve
Med prizadetimi državami so Avstrija, Hrvaška, Avstralija, Francija, Španija, Japonska, Južna Koreja, Nizozemska, Singapur, Tajvan, Združeni arabski emirati, Združeno kraljestvo in Združene države Amerike. Targetirane industrije vključujejo avtomobilsko industrijo, kemijsko industrijo, skupine podjetij, gradbeništvo, informacijsko varnost, izobraževanje, elektroniko, finančne institucije, igralništvo, vlado, medvladne organizacije (IGO), informacijsko tehnologijo, odvetniške pisarne, proizvodnjo, materiale, medije, nevladne organizacije (NVO), raziskovalne inštitute ter telekomunikacije.
Podrobnosti grožnje
Analiza z visoko stopnjo zaupanja ocenjuje, da je napadalec izkoriščal ranljivosti v napravah Ivanti Connect Secure VPN za izvajanje napadov po vsem svetu. Verjetno je izkoristil ranljivosti CVE-2025-0282 ali CVE-2025-22457 za pridobitev začetnega dostopa.
Tako CVE-2025-0282 kot CVE-2025-22457 sta ranljivosti tipa “stack buffer overflow” v Ivanti Connect Secure VPN z oceno CVSS 9,0. Uspešno izkoriščanje omogoča napadalcu oddaljeno izvajanje kode, kar vodi v vdor v notranje omrežje in namestitev zlonamerne programske opreme.
V napadu je napadalec uporabil skupno orožje, ki ga uporabljajo kitajske grožbene skupine, imenovano SPAWNCHIMERA. SPAWNCHIMERA je razvit posebej za Ivanti Connect Secure VPN in vsebuje vse funkcionalnosti razvpite družine SPAWN, vključno z:
- SPAWNANT (namestitveni program),
- SPAWNMOLE (SOCKS5 tuneler),
- SPAWNSNAIL (SSH stranska vrata),
- SPAWNSLOTH (brisalec dnevnikov).
Poleg tega še nakazuje, da bi lahko tudi drugi napadalci pridobili informacije o ranljivosti in začeli lastne kampanje proti napravam Ivanti VPN. Od aprila opažamo množične poskuse izkoriščanja naprav Ivanti VPN. Čeprav je večina poskusov spodletela, je veliko naprav Ivanti VPN postalo neodzivnih in nestabilnih.
Močno priporočamo, da prizadete organizacije izvedejo temeljito preiskavo incidenta. Glede na raznolike TTP-je napadalca, kot so večplastna C2 infrastruktura, izogibanje mehanizmom nadzora in uporaba brisalcev dnevnikov, bo brez dodatne tehnične podpore izziv zaznati zlonamerne sledi napadalca v omrežju.
