CISA, bu yılki Federal Sivil Yürütme Şubesi (FCEB) ajanslarını sipariş eden ilk Acil Durum Direktifi, iki Ivanti Connect Secure ve Ivanti Politikası'nın birden fazla tehdit aktörünün yaygın ve aktif sömürüsüne yanıt olarak güvenli sıfır gün kusurlarını azaltmasını sağladı.
Korunmasız Ivanti cihazlarının, CVE-2023-46805 kimlik doğrulama baypasını ve CVE-2024-21887 komut enjeksiyon güvenlik açıklarını Aralık ayından bu yana zincirleyen kapsamlı saldırılarla hedeflendiği göz önüne alındığında, bu beklenen bir gelişmedir.
Zincirlendiğinde, iki Ivanti sıfır günü, saldırganların bir hedefin ağı içinde yanal olarak hareket etmesine, verileri pes etmelerine ve backdoors dağıtarak kalıcı sistem erişimi oluşturmasına izin verir.
Siber güvenlik ajansı Cuma günü yaptığı açıklamada, "CISA, bu koşulların Federal Sivil Yürütme Şubesi (FCEB) ajansları için kabul edilemez bir risk oluşturduğunu ve acil eylem gerektirdiğini belirledi." Dedi.
"Bu belirleme, çoklu tehdit aktörleri tarafından yapılan güvenlik açıklarının yaygın olarak kullanılması, Federal İşletmede etkilenen ürünlerin yaygınlığına, ajans bilgi sistemlerinin uzlaşması için yüksek potansiyel, başarılı bir uzlaşmanın etkisi ve önerilen karmaşıklığın karmaşıklığına dayanmaktadır. hafifletmeler. "
Acil durum direktifi ED 24-01 tarafından talimat verildiği gibi, federal ajanslar artık Ivanti'nin saldırı girişimlerini engellemek için halka açık bir şekilde açıklanan azaltma önlemlerini derhal uygulamalıdır.
Ajansların ayrıca Ivanti'nin harici bütünlük denetleyici aracını ve:
Etkilenen cihazları tam olarak geri yüklemek ve onları tekrar hizmete getirmek için Ivanti'nin kurtarma talimatlarını takip etmek zorundalar ve sonra:
Tehdit İzleme Hizmeti Shadowserver şu anda Amerika Birleşik Devletleri'nde 4.700'den fazla, çevrimiçi olarak maruz kalan 16.200'den fazla ICS VPN cihazını izliyor (Shodan ayrıca yaklaşık 17.000 internete maruz kalan IVanti ICS cihazını görüyor).
Shadowserver ayrıca, dünya çapında tehlikeye atılan Ivanti Connect Secure VPN örneklerinin sayısını ve sömürü girişimlerini izliyor ve sadece 18 Ocak'ta 420'den fazla hacklenmiş cihaz tespit edildi.
Tehdit İstihbarat Şirketi Volexity, saldırganlardan birinin (UTA0178 ve UNC5221 olarak izlenen şüpheli bir Çin devlet destekli tehdit grubunun), bir hediye Web Shell varyantını kullanarak 2.100 Ivanti cihazını geri yüklediğini söylüyor.
Maniant, bu saldırıları araştırırken, kimlik bilgilerini çalmak, web kabuklarını dağıtmak ve ek kötü amaçlı yükleri kullanmak amacıyla ihlal edilen müşterilerin sistemlerine dağıtılan beş özel kötü amaçlı yazılım suşu buldu.
Tehdit oyuncusu, hesap ve oturum verilerini hasat ediyor ve çalmak ve tehlikeye atılan ağlardan daha fazla bilgi.
Şimdiye kadar keşfedilen kurbanlar arasında dünya çapında hükümet ve askeri departmanlar, ulusal telekom şirketleri, savunma müteahhitleri, teknoloji şirketleri, bankacılık, finans ve muhasebe organizasyonları, dünya çapında danışmanlık kıyafetleri ve havacılık, havacılık ve mühendislik firmaları yer alıyor.
Çeşitli endüstri sektörlerinden birden fazla Fortune 500 şirketi de dahil olmak üzere, küçük işletmelerden dünya çapındaki en büyük kuruluşlara kadar büyük ölçüde değişmektedirler.
Saldırganlar ayrıca XMRIG kripto para madencileri ve pas tabanlı kötü amaçlı yazılım yükleri hala analiz için bekleyen Volexity ve Geynoise tarafından görüldü.
CISA: Eleştirel Ivanti Auth Bypass Bug artık aktif olarak sömürüldü
Ivanti, şimdi kitlesel sömürü altında güvenli sıfır günleri bağlayın
Ivanti Connect Secure Sıfır Günleri Özel Kötü Yazılım Dağıtmak İçin Söküldü
Google, 2024'ün ilk aktif olarak kullanılmış Chrome Zero Day
Citrix, saldırılarda sömürülen yeni Netscaler sıfır günlerini uyarıyor
Kaynak: Bleeping Computer