Ivanti Connect Secure: UTA0576 fură credențiale din AD

În prima săptămână din octombrie 2026, Volexity a descoperit un grup necunoscut până acum, pe care îl numește UTA0576, în timp ce compromitea un dispozitiv Ivanti Connect Secure (ICS) actualizat la cea mai recentă versiune disponibilă atunci, 22.8R2.4. Grupul a înlănțuit trei vulnerabilități zero-day (ocolirea autentificării, execuție de cod la distanță și escaladarea privilegiilor) până a obținut privilegii de root fără credențiale.

Pe 13 octombrie Ivanti a publicat avizul și corecțiile pentru primele două vulnerabilități, grupate sub CVE-2026-104935 (CVSS v3.1 8,6). Escaladarea privilegiilor nu este încă corectată: potrivit Help Net Security și Security Affairs, corecția va veni într-o versiune ulterioară. Ivanti vorbește despre o exploatare limitată la un număr mic de clienți. CISA a adăugat CVE-ul în catalogul KEV în aceeași zi și a cerut agențiilor federale americane să actualizeze și să facă o analiză criminalistică până pe 16 octombrie. Avize au publicat și BSI/CERT-Bund (Germania), CCB (Belgia), INCIBE-CERT (Spania) și KISA/KrCERT (Coreea de Sud).

Acest articol se concentrează pe ce a făcut grupul după obținerea accesului, pentru că acolo găsești cele mai utile urme dacă aperi o rețea.

Cronologie

• 1 octombrie: potrivit Defused Cyber, citată de Help Net Security, prima activitate confirmată a acestei campanii.
• 3 octombrie: potrivit Security Affairs, atacatorul era deja în dispozitivul clientului Volexity.
• 5 octombrie: Volexity începe investigarea unei activități suspecte și o leagă de VPN.
• 13 octombrie: avizul și corecțiile Ivanti, includerea în catalogul KEV (dată indicată de CSO Online).

Ivanti găsise deja „o parte” din vulnerabilitate prin propriul program de securitate și o corectase în iulie în 25.1.3.0; transfera corecția în celelalte ramuri suportate când au început atacurile.

De ce Integrity Checker nu este suficient

Potrivit Volexity, lanțul modifică codul doar în memorie și apoi restaurează datele de configurare: Integrity Checker Tool (ICT) al Ivanti, care verifică fișierele de pe disc, nu vede nimic. Pentru fiecare comandă grupul relua tot lanțul și primea rezultatele în răspunsuri HTTPS obișnuite, fără web shell și fără backdoor persistent. Fișierele temporare erau șterse imediat, iar unele intrări din jurnalele de depanare Ivanti și din jurnalele de audit Linux erau eliminate. Ca să afli dacă un dispozitiv a fost compromis ai nevoie, așadar, de o analiză criminalistică, cum subliniază Volexity și CISA.

Ce a căutat în Active Directory

Detaliul cel mai important pentru companii sunt țintele. Potrivit raportului Volexity, preluat de Security Affairs și Help Net Security, imediat după acces UTA0576:

• a folosit un instrument LDAP scris în Python care se autentifica la un controler de domeniu cu contul de serviciu al VPN-ului însuși;
• a căutat în Active Directory parolele LAPS ale administratorilor locali, cheile de recuperare BitLocker și atributele cu parole în clar;
• a capturat traficul LDAP care trecea prin dispozitiv pentru a colecta credențiale în clar, cu un instrument redenumit și ascuns și opt fișiere de captură rotative;
• a executat atacuri de Kerberoasting cu propria implementare Kerberos și campanii de password spraying împotriva conturilor de domeniu;
• a exfiltrat configurația și rezultatele, comprimate și codificate, prin același canal.

Volexity apreciază cu încredere ridicată că grupul pregătea mișcări laterale și o compromitere mai amplă, întreruptă de descoperire. Despre motivație încrederea este scăzută: mai degrabă infracțională decât de spionaj. Doar Security Affairs mai relatează că, potrivit Volexity (încredere medie), grupul folosește modele lingvistice mari pentru a dezvolta exploituri și activitățile de după acces.

În termeni MITRE ATT&CK: T1190 pentru accesul inițial, T1068 pentru escaladare, T1070 pentru ștergerea urmelor, T1040 pentru captura de trafic, T1558.003 (Kerberoasting), T1110.003 (password spraying) și T1041 pentru exfiltrare.

Versiuni afectate și corectate

Potrivit avizelor INCIBE-CERT și KISA:

• 22.8R2.4 și anterioarele din ramura 22.8: actualizează la 22.8R2.5, apoi, cum recomandă Ivanti, treci la ramura 25.1;
• 25.1.1.1 și anterioarele: actualizează la 25.1.1.2;
• 25.1.2.2 și anterioarele: actualizează la 25.1.3.0, 25.1.3.1 sau o versiune ulterioară.

22.7R2.14 și versiunile anterioare nu sunt afectate de CVE-2026-104935. Potrivit CSO Online, Ivanti afirmă că încă nu există indicatori de compromitere fiabili și trimite la cei publicați de Volexity.

În același buletin din octombrie, rezumat de INCIBE-CERT, Ivanti corectează și două vulnerabilități critice neexploatate: CVE-2026-106042 în Xtraction (actualizează la 2026.4) și CVE-2026-109412 în Neurons Patch for Intune, deja corectată în cloud pe 16 septembrie; pentru aceasta din urmă Ivanti recomandă schimbarea secretului de client al aplicației înregistrate în Microsoft Entra ID.

Impactul pentru companiile europene și italiene

VPN-ul este punctul de intrare pentru angajați, furnizori și tehnicieni de mentenanță, iar contul său de serviciu are adesea acces de citire la mare parte din Active Directory. Esențial este că credențialele furate rămân valabile după actualizare: parolele LAPS, cheile BitLocker, conturile cu SPN și conturile ghicite prin spraying trebuie considerate expuse dacă dispozitivul a fost compromis.

Pentru entitățile care intră sub NIS2, actualizarea face parte din gestionarea vulnerabilităților cu termene documentate; o compromitere confirmată trebuie evaluată în vederea notificării către CSIRT-ul național (în Italia, CSIRT Italia al ACN, cu avertizare timpurie în 24 de ore pentru incidentele semnificative). În sănătate, unde VPN-ul oferă des acces la distanță medicilor și furnizorilor de dispozitive, cheile BitLocker și parolele de administrator local deschid drumul către stațiile de lucru clinice.

Ce să faci acum

1. Păstrează dovezile înainte de actualizare pe un dispozitiv suspect: jurnale, copii ale configurației și imagini de sistem (indicație INCIBE-CERT).
2. Actualizează fiecare dispozitiv și fiecare nod din clustere la versiunea corectată a ramurii tale; rulează ICT, dar nu considera un rezultat curat drept dovadă de integritate.
3. Verifică Active Directory pe controlerele de domeniu: interogări LDAP ale contului de serviciu al VPN-ului către atributele LAPS, obiectele de recuperare BitLocker și atributele cu parole; vârfuri de cereri de tichete Kerberos de la adresa internă a VPN-ului; rafale de autentificări eșuate pe multe conturi.
4. Dacă există o compromitere, urmează instrucțiunile de recuperare ale Ivanti și schimbă: parola contului de serviciu al VPN-ului, parolele LAPS, cheile de recuperare BitLocker și parolele conturilor cu SPN și ale conturilor vizate de spraying.
5. Redu expunerea: limitează permisiunile contului de serviciu al VPN-ului la minimul necesar și folosește conexiuni LDAP criptate, astfel încât traficul care trece prin dispozitiv să nu conțină credențiale în clar.
6. Urmărește avizul Ivanti pentru corecția escaladării privilegiilor și instaleaz-o imediat ce apare.

Cum te ajută ARXDOME

ARX Expose îți arată ce servicii expune compania ta pe internet și care au vulnerabilități cunoscute, ca să știi imediat dacă un gateway de acces la distanță poate fi atins din exterior. ARX Sentry trimite jurnalele firewall-urilor și ale dispozitivelor de rețea către un colector central, în afara dispozitivului: ștergerea jurnalelor locale nu elimină ce a fost deja trimis. Paginile SOC despre identități evidențiază rafalele de încercări, accesele privilegiate și modificările conturilor, utile pentru a recunoaște password spraying și folosirea credențialelor furate.

Ultima actualizare: 14 octombrie 2026