Die IT-Sicherheitsfirma Mandiant hat zusammen mit Ivanti eine Reihe von Sicherheitsl\u00fccken in der VPN-L\u00f6sung Ivanti Connect Secure untersucht. Die Schwachstellen erm\u00f6glichten das Einschleusen von Schadsoftware und dauerhften Zugriff auf Firmennetzwerke. Im Testbericht zeigt sich, dass die betroffenen Produkte dringend abgesichert werden m\u00fcssen.<\/p>\n
Insgesamt f\u00fcnf Sicherheitsl\u00fccken in Ivanti Connect Secure wurden seit Januar 2024 entdeckt. Darunter sind etwa ein Authentifizierungs-Bypass, Befehlsinjektionen und XML External Entity Angriffe.<\/p>\n
Laut den Sicherheitsforschern erlaubten diese L\u00fccken das Eindringen in VPN-Appliances und die Installation von Hintert\u00fcren. Mehrere chinesische Hackergruppen, darunter UNC5325, sollen die Schwachstellen aktiv ausgenutzt haben.<\/p>\n
Nach der Ver\u00f6ffentlichung der L\u00fccken beobachtete Mandiant massive automatisierte Attacken auf verwundbare Systeme. Die Hacker nutzten die L\u00fccken in Kombination, um Schadcode einzuschleusen und Fernzugriff zu erhalten.<\/p>\n
Eine wichtige Rolle spielte dabei die SSRF-Schwachstelle CVE-2024-21893. Sie erm\u00f6glichte unauthentifizierten Angreifern, Befehle auf den Systemen auszuf\u00fchren. Die Hacker ketteten die L\u00fccke mit anderen Schwachstellen zusammen.<\/p>\n
Besonders die Gruppe UNC5325 zeigte laut Mandiant ausgekl\u00fcgelte Techniken, um dauerhaft in die Systeme einzudringen. Sie setzte Malware wie LITTLELAMB.WOOLTEA ein, die Patches, Upgrades und sogar Factory Resets \u00fcberdauern kann.<\/p>\n
So manipulierte die Schadsoftware Sicherungsarchive und Partitionen, um nach Updates und Zur\u00fccksetzungen wieder hergestellt zu werden. Allerdings enthielt der Code Fehler, so dass die Persistenz meist scheiterte.<\/p>\n
In einigen F\u00e4llen missbrauchten die Angreifer laut dem Testbericht auch legitime SparkGateway-Plugins, um Malware nachzuladen. Diese Plugins dienen der Bereitstellung von RDP und SSH im Browser.<\/p>\n
\u00dcber manipulierte Konfigurationen luden die Hacker eigene JAR-Dateien mit dem Namen „Plugin.jar“. Diese enthielten Hintert\u00fcren, die sich tief in die Systemprozesse einklinkten. Die Plugins sorgten so f\u00fcr eine dauerhafte Kompromittierung.<\/p>\n
Neben den Plugins setzten die Hacker auch auf die Webshell Bushwalk, die in Perl geschrieben ist. Bushwalk wurde in eine legitime Komponente der VPN-Appliance eingebettet, um Fernzugriff und Datenabfluss zu erm\u00f6glichen.<\/p>\n
Laut Mandiant zeigte Bushwalk einige trickreiche Techniken, um die Erkennung zu umgehen. So konnte die Webshell zwischen einem aktiven und inaktiven Zustand hin- und herschalten. Im inaktiven Modus entzog sie sich so der Entdeckung.<\/p>\n
Der Testbericht zeigt eindr\u00fccklich, dass die entdeckten Sicherheitsl\u00fccken in Ivanti Connect Secure ein erhebliches Risiko darstellen. Angreifer konnten damit langfristigen Zugang zu Unternehmensnetzwerken erhalten.<\/p>\n
Administratoren von betroffenen Appliances m\u00fcssen daher umgehend die verf\u00fcgbaren Patches und Absicherungsma\u00dfnahmen einspielen. Die Malware-Versionen sind zwar oft fehlerhaft, dennoch k\u00f6nnen die L\u00fccken gravierende Sicherheitsvorf\u00e4lle nach sich ziehen.<\/p>\n
Der Vorfall macht deutlich, dass bei VPN-L\u00f6sungen und Netzwerk-Appliances erh\u00f6hte Wachsamkeit geboten ist. Regelm\u00e4\u00dfige Penetrationstests und Monitoring k\u00f6nnen helfen, kritische Schwachstellen rechtzeitig zu erkennen und Angriffe abzuwehren.<\/p>\n","protected":false},"excerpt":{"rendered":"
Die IT-Sicherheitsfirma Mandiant hat zusammen mit Ivanti eine Reihe von Sicherheitsl\u00fccken in der VPN-L\u00f6sung Ivanti Connect Secure untersucht. Die Schwachstellen erm\u00f6glichten das Einschleusen von Schadsoftware und dauerhften Zugriff auf Firmennetzwerke. Im Testbericht zeigt sich, dass die betroffenen Produkte dringend abgesichert werden m\u00fcssen. Kritische Sicherheitsl\u00fccken entdeckt Insgesamt f\u00fcnf Sicherheitsl\u00fccken in Ivanti Connect Secure wurden seit Januar […]<\/p>\n","protected":false},"author":2,"featured_media":8253,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[1],"tags":[],"class_list":["post-8252","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-allgemein"],"yoast_head":"\n