Ivanti Connect Secure: una cadena de zero-days abre las pasarelas VPN sin autenticación

Una pasarela VPN debe decidir quién puede acceder a la red corporativa. En Ivanti Connect Secure, el antiguo Pulse Connect Secure, esta decisión puede eludirse actualmente por completo: dos vulnerabilidades desconocidas hasta hace poco, CVE-2023-46805 y CVE-2024-21887, permiten a los atacantes ejecutar comandos en la pasarela sin necesidad de autenticarse. Ivanti hizo públicas las vulnerabilidades el 10 de enero de 2024 y la agencia estadounidense CISA las incluyó ese mismo día en su catálogo de vulnerabilidades explotadas activamente. Una semana después sigue sin haber parche, solo un workaround.

De qué se trata

Los ataques fueron descubiertos por la empresa de seguridad Volexity. En la segunda semana de diciembre de 2023 se detectaron movimientos sospechosos en la red interna de un cliente. El rastro condujo a la pasarela de Ivanti situada en el acceso a Internet, desde la que se registraba actividad anómala al menos desde el 3 de diciembre de 2023.

Los datos clave según Ivanti, Volexity y CISA:

• Vulnerabilidades: CVE-2023-46805 es una omisión de autenticación en el componente web (CVSS 8.2). CVE-2024-21887 es una command injection (CVSS 9.1) que, por sí sola, requiere un inicio de sesión de administrador. Combinadas, este obstáculo desaparece.
• Afectadas: todas las versiones soportadas 9.x y 22.x de Ivanti Connect Secure e Ivanti Policy Secure.
• Corregido en: ninguna versión todavía. Ivanti prevé publicar los parches de forma escalonada: los primeros a partir de la semana del 22 de enero y los últimos en la semana del 19 de febrero de 2024. Hasta entonces, hay disponible una mitigación en forma de archivo XML en el portal de descargas.
• Requisito para el ataque: una pasarela accesible desde Internet. El atacante no necesita credenciales, por lo que la MFA tampoco desempeña ningún papel.
• Consecuencia: ejecución de comandos arbitrarios en la pasarela y, con ello, control sobre el acceso a la red interna.

Por qué es urgente

Volexity y Mandiant describen con detalle lo que hacen los atacantes con una pasarela comprometida. Modificaron un archivo JavaScript de la página de inicio de sesión de modo que cada contraseña introducida se enviaba a un servidor externo; Mandiant denomina a esta herramienta WARPWIRE. A ello se sumaron webshells, logs eliminados y listas de exclusión manipuladas de la herramienta Integrity Checker Tool del propio Ivanti. Desde la pasarela, los atacantes se desplazaron lateralmente mediante RDP, SMB y SSH, extrajeron credenciales de la memoria de sistemas Windows y copiaron la base de datos de Active Directory. Volexity considera probable la autoría de un actor estatal chino; Mandiant apunta a una campaña de espionaje.

De este modo, la pasarela se convierte en un punto de recopilación de credenciales: quien la controla ve cada inicio de sesión en texto claro, incluidas las contraseñas con las que los empleados acceden después a otros sistemas.

Lo que eran ataques dirigidos aislados se ha convertido ya en una campaña masiva. El 10 de enero, Ivanti hablaba todavía de menos de diez clientes afectados. Según Volexity, la explotación generalizada comenzó el 11 de enero. En un escaneo de unas 30.000 pasarelas de Ivanti, la empresa encontró hasta el 14 de enero más de 1.700 dispositivos comprometidos, desde pequeñas empresas, organismos públicos y operadores de telecomunicaciones hasta grandes corporaciones de la lista Fortune 500. Un aspecto importante: la mitigación impide nuevos ataques, pero no elimina a un atacante que ya esté en el dispositivo.

Qué debe hacer ahora

1. Aplique la mitigación de inmediato. No espere al parche. Importe el archivo XML proporcionado por Ivanti e instale las actualizaciones en cuanto estén disponibles para su versión.
2. Ejecute el Integrity Checker. Ivanti ofrece para ello una herramienta interna y otra externa. Según Volexity, los archivos nuevos o modificados que detecte el checker son un fuerte indicio de compromiso. Atención: la herramienta externa reinicia el dispositivo y sobrescribe la memoria; si sospecha de un compromiso, preserve antes la memoria, el disco y los logs para el análisis forense.
3. Almacene los logs fuera del dispositivo. Reenvíe los logs mediante Syslog a un servidor externo, ya que los atacantes han eliminado logs en la pasarela. Según Volexity, las propias solicitudes del exploit no aparecen en los logs, por lo que un log sin anomalías no es motivo para bajar la guardia.
4. En caso de sospecha, recurra a un proveedor de servicios forenses, tal como recomienda Ivanti. Todas las credenciales almacenadas en la pasarela o introducidas a través de ella deben considerarse comprometidas y restablecerse.
5. Revise la red interna. Busque conexiones inusuales originadas en la propia pasarela VPN, por ejemplo sesiones RDP o SMB hacia servidores con los que normalmente no tiene ninguna relación.

Qué significa esto para la protección de los firewalls

Este caso muestra con especial claridad el problema de fondo de las pasarelas VPN: deben estar expuestas a Internet, y una vulnerabilidad en ellas es una vía directa hacia la red. En esta ocasión ni siquiera hay un parche, sino solo una solución provisional durante semanas. Y entre los primeros ataques dirigidos y la explotación masiva transcurrió apenas un día.

NetProtector está pensado precisamente para este intervalo de tiempo. El appliance funciona en línea delante del firewall y de la pasarela VPN y filtra el tráfico antes de que llegue al portal:

• Una red de sensores que detecta a los atacantes de forma temprana. Honeypots, sensores en la nube y sensores de socios registran desde qué direcciones se rastrea Internet en busca de dispositivos vulnerables. NetProtector bloquea también en su red las fuentes identificadas allí como atacantes, antes de que se dirijan a su pasarela.
• Anomalías en su propio tráfico. Se detectan y notifican escaneos sistemáticos, un número inusualmente alto de solicitudes desde una misma fuente o patrones de acceso que no encajan con el funcionamiento normal.
• Menos atacantes hasta la llegada del parche. NetProtector no sustituye ni la mitigación ni la actualización, ni limpia un dispositivo ya comprometido. Pero reduce el número de atacantes que llegan siquiera a su pasarela durante la fase crítica.

La red de sensores

Datos analizados

Deep Packet Inspection (capas 2–7)NetFlow / IPFIXConsultas y respuestas DNSMetadatos de handshake TLS/SSHSyslog y registros de eventos

De dónde proceden los datos de la red de sensores y cómo se instala NetProtector delante del firewall sin modificar la red lo mostramos en la página Cómo funciona NetProtector.

Nuestra valoración

Ivanti no es el único con este problema: las pasarelas VPN de todos los fabricantes son objetivos atractivos porque son accesibles públicamente y conducen directamente a la red. Frente a una vulnerabilidad que actúa antes de cualquier autenticación, ni la mejor MFA sirve de ayuda. Lo decisivo es entonces la rapidez con la que se aplica una mitigación, si se detecta una intrusión, si los logs se encuentran en un lugar seguro y si delante hay una capa que ni siquiera deja pasar a los atacantes conocidos.

Fuentes

• Volexity: Active Exploitation of Two Zero-Day Vulnerabilities in Ivanti Connect Secure VPN
• Volexity: Ivanti Connect Secure VPN Exploitation Goes Global
• Mandiant: Cutting Edge – Suspected APT Targets Ivanti Connect Secure VPN in New Zero-Day Exploitation
• CISA: Ivanti Releases Security Update for Connect Secure and Policy Secure Gateways
• Help Net Security: Ivanti Connect Secure zero-days exploited by attackers (CVE-2023-46805, CVE-2024-21887)