La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) emitió el viernes un directiva de emergencia instando a las agencias del Poder Ejecutivo Civil Federal (FCEB) a implementar mitigaciones contra dos fallas de día cero explotadas activamente en los productos Ivanti Connect Secure (ICS) e Ivanti Policy Secure (IPS).
El desarrollo se produjo después de que las vulnerabilidades (una omisión de autenticación (CVE-2023-46805) y un error de inyección de código (CVE-2024-21887)) fueran objeto de una explotación generalizada de las vulnerabilidades por parte de múltiples actores de amenazas. Las fallas permiten que un actor malintencionado cree solicitudes maliciosas y ejecute comandos arbitrarios en el sistema.
La empresa estadounidense admitido en un aviso que ha sido testigo de un «fuerte aumento en la actividad de los actores de amenazas» a partir del 11 de enero de 2024, después de que las deficiencias se revelaran públicamente.
«La explotación exitosa de las vulnerabilidades en estos productos afectados permite que un actor de amenazas maliciosas se mueva lateralmente, realice una filtración de datos y establezca un acceso persistente al sistema, lo que resulta en un compromiso total de los sistemas de información de destino», dijo la agencia. dicho.
Ivanti, que se espera que lance una actualización para abordar las fallas la próxima semana, ha puesto a disposición una solución temporal a través de un archivo XML que se puede importar a los productos afectados para realizar los cambios de configuración necesarios.
CISA insta a las organizaciones que ejecutan ICS a aplicar la mitigación y ejecutar una herramienta de verificación de integridad externa para identificar signos de compromiso y, si los encuentra, desconectarlos de las redes y restablecer el dispositivo, seguido de importar el archivo XML.
Además, las entidades de la FCEB están instado para revocar y volver a emitir cualquier certificado almacenado, restablecer la contraseña de habilitación del administrador, almacenar claves API y restablecer las contraseñas de cualquier usuario local definido en la puerta de enlace.
Las empresas de ciberseguridad Volexity y Mandiant han observado ataques que utilizan las fallas gemelas como arma para implementar shells web y puertas traseras pasivas para el acceso persistente a los dispositivos comprometidos. Se estima que hasta la fecha hasta 2.100 dispositivos en todo el mundo se han visto comprometidos.
La ola de ataques inicial identificada en diciembre de 2023 se ha atribuido a un grupo de estado-nación chino al que se está rastreando como UTA0178. Mandiant está siguiendo la actividad bajo el nombre de UNC5221, aunque no se ha vinculado a ningún grupo o país específico.
La firma de inteligencia de amenazas GreyNoise dijo que también observado Se abusa de las vulnerabilidades para eliminar puertas traseras persistentes y mineros de criptomonedas XMRig, lo que indica una explotación oportunista por parte de malos actores para obtener ganancias financieras.