Allarme sicurezza: Ivanti Connect Secure VPN sotto attacco

Gravi vulnerabilità hanno interessato i dispositivi VPN di Ivanti, con Volexity e la stessa Ivanti che hanno segnalato attacchi in corso già dal 10 gennaio. I dispositivi Ivanti Connect Secure VPN sono al centro di una campagna di attacchi che sfrutta due critiche vulnerabilità zero-day non ancora mitigate, identificate come CVE-2023-46805 e CVE-2024-21887, per l'installazione di webshell dannose e l'esfiltrazione di dati.

Indagini in corso sugli attacchi zero-day

Una congiuntura di attori malevoli, inclusi quelli affiliati alle cyber-attività cinesi, stanno sfruttando queste vulnerabilità a partire da dicembre 2023. Questo sforzo è rafforzato dal lavoro di Mandiant che ha pubblicato indicazioni utili per l'identificazione dei malware impiegati, suggerendo un impegno mirato verso lo spionaggio elettronico. Il flusso di azioni ostili non sembra arrestarsi ed ha afflitto più di 1.700 endpoint, toccando aziende di svariati settori industriali e dimensioni, incluse alcune entità nella lista Fortune 500.

Dimensione della vulnerabilità e risposta di Ivanti

Stando alle analisi fornite dai servizi di scansione, si stima che i dispositivi Ivanti Connect Secure VPN attivi e vulnerabili siano oltre 18.000 a livello mondiale, di cui circa 5.500 in Europa. Ivanti, in risposta alla criticità emersa, ha già diffuso linee guida per la risoluzione dei problemi, supportando le aziende nella gestione dell'emergenza sicurezza. È inoltre emersa l'importanza della collaborazione coi CERT nazionali.

Sollecito agli interventi di mitigazione

Conscia dell'incapacità delle misure cautelari emergenze di contenere i danni derivanti dai compromessi pregressi, Volexity esorta le organizzazioni a un'analisi approfondita dei sistemi al fine di rilevare eventuali segni di intrusione. La scoperta di oltre 1.700 dispositivi compromessi mediante la nuova tecniche di scansioni evidenzia la necessità imperante di interventi correttivi e un'analisi incidentale interna per confermare o smentire una violazione della sicurezza di rete.