Ivanti zero-day támadások
Az Etugen kutatása új részleteket tárt fel az Ivanti Connect Secure VPN-rendszerek ellen októberben végrehajtott nulladik napi támadásokról. A kutatók egy nyilvánosan elérhető támadói szerveren közel 9 GB adatot és 7175 fájlt azonosítottak, köztük támadóeszközöket, ellopott adatokat és az üzemeltető saját műveleti feljegyzéseit.
A támadók három sérülékenységet kapcsoltak össze, a CVE-2026-104935 hitelesítésmegkerülést, a CVE-2026-118527 fájlfeltöltési hibát és a CVE-2026-111357 jogosultságkiterjesztést. A lánc lehetővé tehette a VPN-berendezések hitelesítés nélküli, root jogosultságú távoli kompromittálását.
Az Etugen egy spanyolországi VPS-en működő, nyitott könyvtárban megtalálta a támadáshoz használt Python-keretrendszert és 168 végrehajtási naplót. Ezek több ország kormányzati és vállalati rendszereinek célzására utalnak. A szerveren más termékek, például az IceWarp, az MLflow és a MinIO elleni eszközök is szerepeltek.
A legérdekesebb lelet az OPERATION_MEMORY.md nevű, 391 KB-os orosz nyelvű fájl, amelyet egy kimi-code nevű AI-alapú programozóügynök számára készítettek. A dokumentum a támadási infrastruktúra használatát, a proxyszerverek cseréjét és az operatív biztonsági szabályokat rögzítette.
A feljegyzések összekapcsoltak egy korábban ismert, időközben leállított támadói IP-címet az új szerverrel, de csak közepes bizonyossággal tulajdonítja azt az UTA0576 csoportnak. Az Etugen további hálózati indikátorokat is azonosított, amelyek segíthetik a hasonló támadások felderítését.