Los atacantes encadenaron tres vulnerabilidades «zero-day» de Ivanti para obtener privilegios de root en dispositivos VPN totalmente actualizados.

Un grupo de ac­to­res ma­li­cio­sos uti­li­zó una com­bi­na­ción de tres vul­ne­ra­bi­li­da­des de tipo día cero en equi­pos de redes pri­va­das vir­tua­les de Ivan­ti para vul­ne­rar sis­te­mas que con­ta­ban con todas las ac­tua­li­za­cio­nes ins­ta­la­das. Estas ac­cio­nes per­mi­tie­ron a los ata­can­tes re­co­pi­lar cre­den­cia­les, sus­traer in­for­ma­ción de con­fi­gu­ra­ción y rea­li­zar ta­reas de re­co­no­ci­mien­to den­tro de las redes afec­ta­das.

El me­ca­nis­mo de ata­que em­plea­do in­te­gró fa­llos para elu­dir la au­ten­ti­ca­ción, es­cri­bir ar­chi­vos y es­ca­lar pri­vi­le­gios me­dian­te la ma­ni­pu­la­ción de datos de con­fi­gu­ra­ción. Esto otor­gó a los agre­so­res la ca­pa­ci­dad de ob­te­ner con­trol total de los dis­po­si­ti­vos, robar cla­ves y con­tra­se­ñas ad­mi­nis­tra­ti­vas, ex­traer me­ta­da­tos de Ac­ti­ve Di­rec­tory, cap­tu­rar trá­fi­co y bo­rrar ras­tros de su ac­ti­vi­dad me­dian­te la mo­di­fi­ca­ción de re­gis­tros.

La com­pa­ñía afec­ta­da in­di­có que el in­ci­den­te im­pac­tó a una can­ti­dad re­du­ci­da de usua­rios y ha pu­bli­ca­do un par­che para aten­der parte de los fa­llos, mien­tras pre­pa­ra so­lu­cio­nes adi­cio­na­les. Asi­mis­mo, las au­to­ri­da­des y los in­ves­ti­ga­do­res re­co­men­da­ron apli­car las ac­tua­li­za­cio­nes dis­po­ni­bles, re­vi­sar los in­di­ca­do­res de com­pro­mi­so y rea­li­zar aná­li­sis fo­ren­ses de­ta­lla­dos, dado que las he­rra­mien­tas ha­bi­tua­les de ve­ri­fi­ca­ción de in­te­gri­dad po­drían no de­tec­tar las al­te­ra­cio­nes rea­li­za­das en la me­mo­ria.