Mandiant releases part 4 of the Ivanti Connect Secure incident response investigation. They detail different types of post-exploitation activity across their IR engagements. Chinese threat actors have a growing knowledge of Ivanti Connect Secure in abusing appliance-specific functionality to perform actions on objective. They highlight FIVE Chinese threat actors: UNC5221, UNC5266, UNC5330, UNC5337, and UNC5291 abusing a mix of CVE-2023-46805, CVE-2024-21887, and CVE-2024-21893. New TTPs, new malware families and new IOC: 🔗 https://cloud.google.com/blog/topics/threat-intelligence/ivanti-post-exploitation-lateral-movement

EDIT: For your situational awareness, it's my understanding that future Mandiant articles will be located at https://cloud.google.com/blog/topics/threat-intelligence/

#Ivanti #ConnectSecure #vulnerability #cyberespionage #China #activeexploitation #eitw #zeroday #KEV #CISA #CVE_2023_46805 #CVE_2024_21887 #CVE_2024_21893 #UNC5221 #UNC5266 #UNC5330 #UNC5337 #UNC5291

Невеличкий PDF-звіт від компанії Hive Pro, який проливає світло на атаку на сервери компанії Ivanti.

https://www.hivepro.com/wp-content/uploads/2024/02/Ivanti-Addresses-Zero-Day-Vulnerability-Exploited-in-Attacks_TA2024042.pdf

Ivanti — це американська IT-компанія з Юти, яка розробляє програмні рішення з кібербезпеки, для управління ІТ-послугами та активами.

В Лютому 2024 були оприлюднені дві критичні вразливості CVE-2024-21893 і CVE-2024-21888. Невдовзі стало відомо, що хакери провели SSRF-атаку на сервери Ivanti.

Зловмисники знайшли діру на боці сервера, а саме в його компоненті SAML, який заснований на протоколі XML і відповідає за обмін ідентифікаторами автентифікації та авторизації.

Хакери скористались недостатньою валідацією вхідних даних і провели експлойт.

Успішна експлуатація цієї діри привела до встановлення бекдора DSLog, який дозволяє зловмисникам віддалено виконувати команди від імені root на зламаних серверах Ivanti.

Якщо підсумувати, то хакери просто відправляли шкідливі запити (malicious requests), які обманом змусили сервер надсилати їх до своїх внутрішніх ресурсів (без перевірки) й отримати таким чином доступ до сенситивних, конфіденційних даних. Все по класиці.

Важливо відзначити, що ця вразливість сьогодні не рідкість - SSRF набирає потужних обертів і експлуатується повсюдно. На сьогодні чимало веб-додатків і хмарних платформ є вразливими до SSRF (Server-Side Request Forgery).

#ivanti #cybersecurity #securitynews #hacking #hack #hackers #servers #infrastructure #itsecurity #reports #research #кібербезпека #CVE_2024_21893 #CVE_2024_21888 #ssrf

𝗚𝗘𝗧 /𝗵𝗮𝗰𝗸%𝟮𝟬𝘁𝗵𝗲%𝟮𝟬𝗽𝗹𝗮𝗻𝗲𝘁 𝗛𝗧𝗧𝗣/𝟭.𝟬 😅​ (​ )

Descriptif par Rapid7 des modalités d'exploitation de la dernière vulnérabilité CVE-2024-21893 déclarée par Ivanti, comme exploitée dans des attaques ciblées.
(mitigation disponible sur le site de l'éditeur)
👇​
https://attackerkb.com/topics/FGlK1TVnB2/cve-2024-21893/rapid7-analysis?referrer=notificationEmail

#cyberveille #CVE_2024_21893