Ivanti Connect Secure: cadeia de zero-days abre gateways VPN sem autenticação

Um gateway VPN deve decidir quem pode aceder à rede da empresa. No Ivanti Connect Secure – anteriormente Pulse Connect Secure – esta decisão pode atualmente ser totalmente contornada: duas vulnerabilidades até há pouco desconhecidas, CVE-2023-46805 e CVE-2024-21887, permitem aos atacantes executar comandos no gateway sem sequer se autenticarem. A Ivanti divulgou as vulnerabilidades publicamente a 10 de janeiro de 2024, e a agência norte-americana CISA incluiu-as no mesmo dia no seu catálogo de vulnerabilidades ativamente exploradas. Uma semana depois, ainda não existe patch – apenas um workaround.

Do que se trata

Os ataques foram descobertos pela empresa de segurança Volexity. Na segunda semana de dezembro de 2023, foram detetados movimentos suspeitos na rede interna de um cliente. O rasto conduziu ao gateway Ivanti no acesso à Internet, a partir do qual se registava atividade suspeita desde, pelo menos, 3 de dezembro de 2023.

Os dados essenciais segundo a Ivanti, a Volexity e a CISA:

• Vulnerabilidades: CVE-2023-46805 é um bypass de autenticação no componente web (CVSS 8.2). CVE-2024-21887 é uma command injection (CVSS 9.1) que, por si só, pressupõe um início de sessão de administrador. Em combinação, este obstáculo desaparece.
• Afetados: todas as versões suportadas 9.x e 22.x do Ivanti Connect Secure e do Ivanti Policy Secure.
• Corrigido em: ainda em nenhuma versão. A Ivanti pretende disponibilizar os patches de forma escalonada – os primeiros a partir da semana de 22 de janeiro, os últimos na semana de 19 de fevereiro de 2024. Até lá, está disponível uma mitigação sob a forma de ficheiro XML no portal de downloads.
• Pré-requisito para o ataque: um gateway acessível a partir da Internet. O atacante não precisa de credenciais – e, por isso, a MFA também não tem qualquer efeito.
• Consequência: execução de comandos arbitrários no gateway e, consequentemente, controlo sobre o acesso à rede interna.

Porque é urgente

A Volexity e a Mandiant descrevem em pormenor o que os atacantes fazem com um gateway comprometido. Alteraram um ficheiro JavaScript da página de início de sessão de forma a que cada palavra-passe introduzida fosse enviada para um servidor externo – a Mandiant designa esta ferramenta por WARPWIRE. A isto juntaram-se webshells, registos eliminados e listas de exceções manipuladas da própria ferramenta Integrity Checker da Ivanti. A partir do gateway, os atacantes deslocaram-se lateralmente via RDP, SMB e SSH, extraíram credenciais da memória de sistemas Windows e copiaram a base de dados do Active Directory. A Volexity considera provável um ator estatal chinês, e a Mandiant pressupõe tratar-se de uma campanha de espionagem.

O gateway torna-se assim um ponto de recolha de credenciais: quem o controla vê cada início de sessão em texto simples – incluindo as palavras-passe com que os colaboradores se autenticam posteriormente noutros sistemas.

Os ataques direcionados isolados transformaram-se entretanto numa campanha em massa. A 10 de janeiro, a Ivanti ainda falava de menos de dez clientes afetados. Segundo a Volexity, a exploração em larga escala começou a 11 de janeiro. Numa análise de cerca de 30.000 gateways Ivanti, a empresa encontrou, até 14 de janeiro, mais de 1.700 dispositivos comprometidos – desde pequenas empresas, passando por organismos públicos e operadores de telecomunicações, até empresas da Fortune 500. Importante: a mitigação impede novos ataques, mas não remove um atacante que já esteja no dispositivo.

O que deve fazer agora

1. Aplique a mitigação imediatamente. Não espere pelo patch. Importe o ficheiro XML disponibilizado pela Ivanti e instale as atualizações assim que estiverem disponíveis para a sua versão.
2. Execute o Integrity Checker. A Ivanti disponibiliza para o efeito uma ferramenta interna e uma externa. Segundo a Volexity, ficheiros novos ou alterados assinalados pelo verificador constituem um forte indício de comprometimento. Atenção: a ferramenta externa reinicia o dispositivo e sobrescreve a memória – em caso de suspeita, salvaguarde previamente a memória, o disco e os registos para análise forense.
3. Guarde os registos fora do dispositivo. Reencaminhe os registos via Syslog para um servidor externo, pois os atacantes eliminaram registos no gateway. Segundo a Volexity, os próprios pedidos de exploração não aparecem nos registos – um registo sem anomalias não é, portanto, sinal de que está tudo bem.
4. Em caso de suspeita, recorra a um prestador de serviços de análise forense, tal como a Ivanti recomenda. Deve considerar comprometidas e redefinir todas as credenciais armazenadas no gateway ou introduzidas através dele.
5. Verifique a rede interna. Procure ligações invulgares originadas no próprio gateway VPN – por exemplo, sessões RDP ou SMB para servidores com os quais normalmente não comunica.

O que isto significa para a proteção de firewalls

Este caso mostra de forma particularmente clara o problema fundamental dos gateways VPN: têm de estar expostos na Internet, e uma vulnerabilidade neles é um caminho direto para a rede. Desta vez, nem sequer existe um patch, apenas uma solução provisória durante semanas. E entre os primeiros ataques direcionados e a exploração em massa passou apenas um dia.

O NetProtector foi concebido precisamente para esta janela temporal. O appliance funciona em linha à frente da firewall e do gateway VPN e filtra o tráfego antes de este chegar ao portal:

• Uma rede de sensores que deteta atacantes cedo. Honeypots, sensores na cloud e sensores de parceiros registam a partir de que endereços a Internet é rastreada em busca de dispositivos vulneráveis. As origens identificadas como atacantes são também bloqueadas pelo NetProtector na sua rede – antes de contactarem o seu gateway.
• Anomalias no seu próprio tráfego. Varrimentos sistemáticos, um número invulgarmente elevado de pedidos de uma única origem ou padrões de acesso que não correspondem ao funcionamento normal são detetados e comunicados.
• Menos atacantes até ao patch. O NetProtector não substitui a mitigação nem a atualização e não limpa um dispositivo já comprometido. Mas reduz o número de atacantes que conseguem sequer alcançar o seu gateway na fase crítica.

A rede de sensores

Dados analisados

Deep Packet Inspection (camadas 2–7)NetFlow / IPFIXConsultas e respostas DNSMetadados de handshake TLS/SSHSyslog e registos de eventos

De onde provêm os dados da rede de sensores e como o NetProtector é colocado à frente da firewall sem alterações à rede é explicado na página Como funciona o NetProtector.

A nossa avaliação

A Ivanti não está sozinha neste problema: os gateways VPN de todos os fabricantes são alvos atrativos, porque estão acessíveis publicamente e conduzem diretamente à rede. Contra uma vulnerabilidade que atua antes de qualquer autenticação, nem a melhor MFA ajuda. O decisivo é então a rapidez com que uma mitigação é aplicada, se uma intrusão é detetada, se os registos estão guardados num local seguro – e se existe à frente uma camada que nem sequer deixa passar atacantes conhecidos.

Fontes

• Volexity: Active Exploitation of Two Zero-Day Vulnerabilities in Ivanti Connect Secure VPN
• Volexity: Ivanti Connect Secure VPN Exploitation Goes Global
• Mandiant: Cutting Edge – Suspected APT Targets Ivanti Connect Secure VPN in New Zero-Day Exploitation
• CISA: Ivanti Releases Security Update for Connect Secure and Policy Secure Gateways
• Help Net Security: Ivanti Connect Secure zero-days exploited by attackers (CVE-2023-46805, CVE-2024-21887)