Il 10 gennaio Ivanti ha rivelato due vulnerabilità nelle VPN Connect Secure, l’ex Pulse Secure, e nei gateway Policy Secure, già sfruttate in attacchi mirati attribuiti a un gruppo di spionaggio legato alla Cina. In pochi giorni lo sfruttamento è diventato di massa. Il 19 gennaio l’agenzia statunitense per la cybersicurezza ha emesso la prima direttiva d’emergenza dell’anno, che obbliga le agenzie federali ad applicare subito le mitigazioni.
La prima falla, la CVE-2023-46805 con gravità 8,2, aggira l’autenticazione nel componente web e apre l’accesso a risorse riservate. La seconda, la CVE-2024-21887 con gravità 9,1, permette a un amministratore di iniettare comandi di sistema. Prese da sole fanno paura il giusto. Messe in fila, consentono a chiunque raggiunga l’apparato da Internet di eseguire comandi senza credenziali. Sono coinvolte tutte le versioni supportate, 9.x e 22.x.
Gli attaccanti installano web shell, modificano file legittimi per rubare le credenziali di chi si collega alla VPN e si spostano nella rete interna. Secondo i ricercatori che hanno scoperto la campagna, a metà gennaio gli apparati compromessi nel mondo erano già oltre 1.700, in settori molto diversi, dalla pubblica amministrazione alle aziende private. In alcuni casi gli attaccanti hanno anche alterato lo strumento di controllo dell’integrità fornito da Ivanti, in modo che il controllo desse esito pulito.
Una mitigazione, per ora
Le correzioni definitive arriveranno in modo scaglionato, a partire dalla settimana del 22 gennaio. Fino ad allora c’è solo una mitigazione temporanea, un file XML da importare dal portale di supporto. Applicala subito, e installa le correzioni appena escono per la tua versione.
Poi verifica: usa lo strumento di controllo dell’integrità esterno, non soltanto quello interno all’apparato, che come visto può essere ingannato. Controlla le connessioni dall’apparato verso la rete interna e l’uso anomalo degli account VPN. Se trovi segni di compromissione, la mitigazione non basta. Ripristina l’apparato alle impostazioni di fabbrica, aggiornalo e cambia tutte le credenziali che vi sono transitate, compresi gli account di dominio usati per l’integrazione.
Non è la prima volta che una VPN di questa famiglia finisce al centro di una campagna di spionaggio: era già successo nel 2021, quando si chiamava ancora Pulse Secure. Forse è il momento di chiederti se il tuo accesso remoto debba per forza passare da un apparato così esposto.
