Phân tích kỹ thuật chuỗi lỗ hổng zero-day trên Ivanti Connect Secure

• Mối đe dọa: Tác nhân đe dọa UTA0576 đã thực hiện chuỗi tấn công zero-day phức tạp trên các thiết bị Ivanti Connect Secure.
• Cơ chế: Kẻ tấn công kết hợp bypass xác thực, ghi file trái phép và leo thang đặc quyền (CVE-2026-104935) để chiếm quyền root.
• Mục tiêu: Đánh cắp thông tin xác thực Active Directory, dữ liệu LAPS, khóa khôi phục BitLocker và thực hiện do thám mạng.
• Khuyến nghị: Cập nhật bản vá mới nhất từ nhà sản xuất và rà soát các dấu hiệu bất thường trong thư mục /tmp/ và các yêu cầu HTTP header lạ.

Các nhà nghiên cứu bảo mật vừa công bố báo cáo chi tiết về một chiến dịch tấn công mạng tinh vi nhắm vào các thiết bị VPN Ivanti Connect Secure. Bằng cách xâu chuỗi ba lỗ hổng zero-day, kẻ tấn công đã đạt được quyền truy cập cấp root mà không cần thông qua xác thực, từ đó tiến hành thu thập dữ liệu nhạy cảm từ hệ thống Active Directory của tổ chức.

Chi tiết về chuỗi tấn công zero-day

Chiến dịch này bắt đầu từ ngày 3 tháng 10 năm 2026, nhắm vào các thiết bị đã được cập nhật đầy đủ phiên bản 22.8R2.4, cho thấy việc duy trì phiên bản phần mềm mới nhất vẫn không đủ để ngăn chặn các lỗ hổng chưa từng được biết đến. Nhóm nghiên cứu theo dõi tác nhân này với định danh UTA0576.

Chuỗi khai thác bao gồm việc kết hợp một lỗ hổng bypass xác thực và một lỗ hổng ghi file trái phép, được Ivanti theo dõi chung dưới mã CVE-2026-104935. Sau khi chiếm được quyền thực thi mã dưới tư cách người dùng cgi-server, kẻ tấn công tiếp tục sử dụng một lỗ hổng leo thang đặc quyền thứ ba để đạt quyền root trên thiết bị.

Cơ chế khai thác kỹ thuật

Kẻ tấn công lợi dụng cách xử lý các yêu cầu web của thiết bị. Bằng cách chèn header X-DSCGI-PATH vào các yêu cầu gửi đến script đăng nhập công khai, chúng có thể điều hướng thiết bị đến các script được bảo vệ. Sau đó, thông qua trình xử lý tải lên file, kẻ tấn công tạm thời đặt một script độc hại lên thiết bị và thực thi nó bằng cách gửi các yêu cầu liên tiếp với tốc độ cao trước khi hệ thống kịp xóa file.

# Ví dụ header được sử dụng để điều hướng yêu cầu đến trình xử lý tải lên bảo vệ:
X-DSCGI-PATH: /home/webserver/htdocs/dana/fb/smb/wu.cgi

Sau khi có quyền thực thi mã, UTA0576 sử dụng dịch vụ dsinvoked để leo thang đặc quyền lên root bằng cách thay đổi dữ liệu cấu hình trong bộ nhớ, thực thi tác vụ độc hại và sau đó khôi phục lại cấu hình gốc để xóa dấu vết. Kẻ tấn công cũng thực hiện xóa các mục nhật ký debug và nhật ký hệ thống Linux để tránh bị phát hiện bởi công cụ Integrity Checker của Ivanti.

Dấu hiệu nhận biết (IoCs) và phân tích dữ liệu

Dưới đây là bảng tổng hợp các chỉ số thỏa hiệp (IoCs) được ghi nhận trong quá trình điều tra:

⚠️ Cảnh báo quan trọng: Việc quét file sạch hoặc không tìm thấy web shell không đảm bảo thiết bị an toàn. Kẻ tấn công hoạt động chủ yếu trong bộ nhớ và sử dụng kênh HTTPS để nhận lệnh, khiến việc phát hiện qua các phương pháp truyền thống trở nên khó khăn.

Khuyến nghị phòng thủ và khắc phục

Các quản trị viên cần thực hiện ngay các bước sau để bảo vệ hệ thống:

• Cập nhật bản vá: Cài đặt ngay bản cập nhật mới nhất từ Ivanti cho CVE-2026-104935.
• Giám sát mạng: Theo dõi các yêu cầu lặp lại đến /dana-na/auth/url_default/welcome.cgi, đặc biệt là các yêu cầu chứa header X-DSCGI-PATH trỏ đến các vị trí lạ.
• Kiểm tra hệ thống: Rà soát các file bất thường trong thư mục /tmp/ và thực hiện phân tích bộ nhớ (memory forensics) để tìm kiếm các tiến trình ẩn.
• Đánh giá Active Directory: Kiểm tra nhật ký truy cập LDAP để phát hiện các truy vấn bất thường liên quan đến LAPS, BitLocker và các tài khoản đặc quyền.

Để biết thêm thông tin chi tiết về các lỗ hổng và cách thức phòng chống, các tổ chức có thể tham khảo thêm tài liệu từ CISA hoặc các báo cáo từ các đơn vị nghiên cứu bảo mật uy tín.