Napadači kroz Ivanti VPN prolaze prikriveni, alat za proveru kaže sve čisto
Napad kroz Ivanti VPN ne ostavlja fajl na uređaju i zato prolazi ispod radara. Ivanti Connect Secure je uređaj na granici mreže kroz koji zaposleni od spolja ulaze u firmu. Volexity je uhvatio aktivne napade od najmanje 3. oktobra, a prve znake još od početka meseca. Napadač, do sada nepoznat i označen kao UTA0576, spaja tri propusta u jedan lanac. Volexity sa niskom pouzdanošću procenjuje da mu je motiv kriminalni, a ne špijunski. Jezgro je ranjivost CVE-2026-104935, zaobilaženje prijave: radi daljinski, bez naloga i bez klika žrtve. Spajanjem sva tri propusta napadač dobija root pristup, najviši nivo kontrole, i to na potpuno zakrpljenim uređajima. Trik je u načinu prikrivanja. Ne ostavlja fizički zapis; komande se izvršavaju u memoriji i nestaju bez traga. Zato Ivantijev alat za proveru integriteta javlja da je uređaj čist, na šta i CISA izričito upozorava. Posle provale napadač ide na ono najvrednije: lozinke iz Active Directory-ja, LAPS lozinke i BitLocker ključeve za oporavak. CISA je ranjivost uvrstila u listu aktivno eksploatisanih i naložila saveznim agencijama da propust zakrpe do petka. Ivanti je sanirao prvu kariku lanca i poručio korisnicima da reaguju odmah, ali propust za dizanje privilegija još čeka ispravku. Shadowserver vidi preko 5.600 ovakvih uređaja izloženih na internetu.
Poenta nije u složenosti koda, nego u disciplini: napad je skrojen tako da iza sebe ne ostavi ništa što bi odbrana mogla da detektuje. Uređaj koji na granici mreže postavljamo da bismo nepoznate držali napolju tako postaje najbrži put unutra. Alat koji javlja da je sve čisto u ovom slučaju je gori nego da ga nema. Od 2021. CISA je na listu aktivno eksploatisanih ranjivosti uvrstila 36 Ivanti propusta, a dvanaest ih je završilo u ransomver napadima. Kod nas se VPN kutija obično podesi jednom i zaboravi — pa ako je jedino čemu verujemo baš vendorov alat, posle ovoga treba da preispitamo ta uverenja.
- Nadogradi Ivanti Connect Secure odmah na 22.8R2.5, 25.1.3.1 ili 25.1.1.2 — CISA je saveznim agencijama dala rok do petka, a razlog važi za svakoga
- Ne veruj samo Integrity Checker Tool-u: komande se izvršavaju u memoriji, pa i CISA upozorava da alat možda neće videti upad — traži tragove u mrežnom saobraćaju i izlaznim konekcijama uređaja
- Ako si bio izložen od početka oktobra, pretpostavi kompromitaciju i uradi čist rez: backup konfiguracije, fabrički reset, nadogradnja, pa reset svih lozinki naloga
- Povuci i ponovo izdaj sertifikate, resetuj API ključeve i kredencijale za licencni server — zakrpa sama ne izbacuje nekoga ko je već ušao
- Prednost daj proveri Active Directory naloga, LAPS lozinki i BitLocker ključeva za oporavak — upravo njih su napadači ciljali posle upada