Vulnerabilidad de Ivanti VPN: Lo que debe saber
Los piratas informáticos chinos patrocinados por el Estado han atacado las vulnerabilidades anunciadas recientemente en los productos VPN de Ivanti, las puertas de enlace Ivanti Connect Secure (antes Pulse Secure) e Ivanti Policy Secure. Estas vulnerabilidades se reportan como CVE-2023-46805, CVE-2024-21887, CVE-2024-21888 y CVE-2024-21893.
Cuando se utilizan juntas, estas vulnerabilidades pueden permitir eludir la autenticación no autorizada y la ejecución remota de comandos. Ivanti ha publicado parches para estas vulnerabilidades para las versiones más utilizadas de sus productos, pero la empresa aún no ha publicado parches para todas las versiones vulnerables de sus productos. Esto conduce a un mayor riesgo de escalada de privilegios y falsificación de peticiones del lado del servidor para aquellos que aún no son capaces de aplicar un parche.
Medidas y recomendaciones de seguridad Ivanti
Unit 42® aconseja la aplicación inmediata de parches para estas vulnerabilidades a medida que estén disponibles y una postura proactiva sobre los reinicios del sistema antes de aplicar los parches para garantizar la integridad del entorno. En respuesta a las vulnerabilidades recién descubiertas, nos hacemos eco de la recomendación de CISA de desconectar de la red las soluciones comprometidas y subrayamos la importancia de aplicar con diligencia los parches disponibles o de próxima aparición.
En el último segmento del podcast Vector de Amenazas, los expertos en ciberseguridad de Unit 42 Sam Rubin, vicepresidente y responsable global de operaciones, e Ingrid Parker, directora senior de la Unidad de Respuesta Intel, profundizan en las vulnerabilidades críticas encontradas en los productos de seguridad Connect Secure y Policy Security de Ivanti. Exploran el impacto potencial de las vulnerabilidades, la urgencia de su mitigación y las estrategias de defensa.
Unidad 42 Casos de respuesta a incidentes
Las campañas de explotación de las vulnerabilidades Ivanti CVE-2023-46805 y CVE-2024-21887 se produjeron en tres oleadas distintas.
La primera oleada duró al menos desde la segunda semana de diciembre de 2023 hasta el 10 de enero de 2024, cuando Volexity publicó su primera entrada en el blog sobre el asunto. Los ataques de esta campaña estaban dirigidos y presentaban múltiples conchas web personalizadas y movimiento lateral. La Unit 42 respondió a una actividad de amenaza que probablemente correspondía a esta oleada de campañas.
De forma similar a la actividad comentada en la entrada del blog de Volexity, observamos al actor de la amenaza realizando las siguientes actividades:
- Archivado de archivos incluyendo NTDS.dit utilizando 7-Zip antes de la exfiltración
- Creación de un volcado de memoria del proceso LSASS mediante el Administrador de tareas de Windows (Taskmgr.exe)
- Desplazamiento lateral a través del protocolo de escritorio remoto (RDP)
- Borrado de registros
La segunda oleada comenzó tras la primera entrada del blog de Volexity el 10 de enero de 2024. Esta oleada estuvo marcada por un cambio de los ataques selectivos a la explotación masiva por parte de actores de amenaza adicionales.
La Unit 42 respondió a casos de actividad de amenazas que probablemente correspondían a esta oleada de campañas. La actividad de amenaza fue coherente en todos estos casos.
El actor de amenaza volcó datos de configuración que contenían esquemas, ajustes, nombres y credenciales de los distintos usuarios y cuentas de la red, pero no realizó ningún movimiento lateral como los incidentes ocurridos en la primera oleada.
Unit 42 cree que los actores de amenaza detrás de esta actividad podrían haber cambiado el enfoque hacia una explotación más amplia para maximizar el impacto antes de que las organizaciones pudieran empezar a parchear y aplicar las directrices de mitigación.
La tercera oleada comenzó ya el 16 de enero de 2024, cuando los exploits de prueba de concepto (PoC) se hicieron públicos. La liberación de estos exploits conduce a la explotación masiva por parte de una serie de actores con diversas motivaciones y grados de sofisticación, incluidas las entidades delictivas que implementan ampliamente la criptominería y diversos programas informáticos de supervisión y gestión remota (RMM).
La Unit 42 ha respondido a una actividad de amenaza que probablemente correspondía a esta oleada, procedente de un actor de amenaza que utilizaba un exploit PoC disponible públicamente. Actualmente estamos apoyando a nuestros clientes en la investigación de esos incidentes.
Estrategias integrales de defensa de Ivanati
El descubrimiento de estas vulnerabilidades subraya la necesidad de contar con medidas de seguridad vigilantes y capacidades de respuesta rápida. Esto ha puesto de relieve vulnerabilidades críticas de seguridad dentro de tecnologías de redes privadas virtuales (VPN) ampliamente utilizadas y explotadas por sofisticados actores de amenaza. Estas vulnerabilidades permiten el acceso y control no autorizados, lo que supone riesgos significativos para las redes de las organizaciones.
Las siguientes estrategias son fundamentales para mantener una postura de seguridad sólida frente a las ciberamenazas en evolución, garantizando la protección de la información sensible y las infraestructuras críticas:
- Haga un inventario de sus activos: Catalogue todos los dispositivos, sistemas y software de la red.
- Elija las herramientas adecuadas: Utilice las herramientas de exploración de vulnerabilidades que mejor se adapten a la complejidad y escala de su entorno informático.
- Escanee en busca de vulnerabilidades: Ejecute regularmente escaneos para identificar debilidades de seguridad en sus sistemas.
- Analice los resultados: Revise cuidadosamente los resultados del escaneado para priorizar las vulnerabilidades en función de su gravedad e impacto potencial.
- Remediar y parchear: Aplique los parches o soluciones necesarias para mitigar las vulnerabilidades identificadas.
- Repita y revise: Supervise y reevalúe su postura de seguridad para adaptarse a las nuevas amenazas.
No deje de consultar nuestro avanzado Informe Ivanti sobre amenazas emergentes:
Adopción de una estrategia global de ciberseguridad
Es esencial tomar medidas importantes para proteger su red de posibles ciberamenazas. Algunos métodos para salvaguardar su red incluyen ocultar las aplicaciones y las VPN de la visibilidad pública de Internet para protegerlas de los atacantes. También debe inspeccionar a fondo todo el tráfico entrante y saliente para neutralizar amenazas como el malware y los exploits de día cero.
Aplicar el principio del menor privilegio en toda su red es otro paso vital. Esto garantiza que los usuarios sólo puedan acceder a los recursos necesarios para sus funciones. También debe reforzar los controles de acceso utilizando una sólida autenticación multifactor para verificar eficazmente las identidades de los usuarios.
También se recomienda conectar a los usuarios directamente a las aplicaciones en lugar de a la red más amplia. Esto minimiza los daños potenciales derivados de incidentes de seguridad. Utilizar la supervisión continua también es esencial para identificar y mitigar las amenazas planteadas por personas internas comprometidas o actores externos.
Para proteger los datos sensibles, debe aplicarse una supervisión diligente y un cifrado tanto en tránsito como en reposo. El empleo de tecnologías de engaño y la caza de amenazas proactiva pueden ayudar a identificar y neutralizar las amenazas antes de que puedan causar daños.
Fomentar una cultura de concienciación sobre la seguridad dentro de su organización también puede servir de defensa contra vectores comunes como el phishing. La evaluación periódica de sus medidas de seguridad mediante evaluaciones y simulaciones puede ayudar a identificar y abordar las vulnerabilidades.
Enfoque de confianza cero de Palo Alto Networks
En respuesta a estas amenazas, Palo Alto Networks hace hincapié en la importancia de una arquitectura Zero Trust, que proporcione un acceso seguro y segmentado a las aplicaciones sin exponerlas a amenazas directas de Internet. Nuestras soluciones, que incluyen políticas avanzadas de prevención de amenazas y segmentación, están diseñadas para minimizar la superficie de ataque, impedir el acceso no autorizado y detectar y responder a las amenazas en tiempo real.
10 preguntas y respuestas frecuentes sobre la vulnerabilidad Ivanti para profesionales de la seguridad empresarial
