Ivanti Connect Secure 曝两大零日漏洞，已被大规模利用
内容提要
威胁情报公司Volexity发现Ivanti的Connect Secure VPN和Policy Secure NAC设备存在两个零日漏洞，正在被大规模利用。攻击者使用GIFTEDVISITOR webshell变体对目标系统进行后门攻击，受害者包括政府、军事部门、电信公司、国防承包商等。建议管理员采取缓解措施并运行完整性检查工具。ICS VPN设备在网上曝光，超过16800台设备受影响。被入侵客户的系统中部署了五种定制恶意软件，目的是投放webshell、附加恶意有效载荷和窃取凭证。
延伸解读
漏洞利用的连锁效应与攻击者能力
攻击者通过串联CVE-2023-46805身份验证绕过和CVE-2024-21887命令注入漏洞，可在所有支持版本的ICS VPN和IPS设备上执行任意命令。这种组合使得攻击者无需有效凭证即可渗透设备，进而部署多种定制恶意软件，包括webshell、后门和凭证窃取工具。其中ZIPLINE被动后门能拦截网络流量，提供文件传输、反向外壳和隧道功能，显著增强攻击者的持久化与隐蔽能力。
受影响范围广泛，政府军事等关键领域在列
Volexity发现的受害者涵盖全球政府、军事部门、国家电信公司、国防承包商、技术公司、银行、金融会计机构、全球咨询公司以及航天航空工程公司，既有小型企业也有财富500强。攻击者使用GIFTEDVISITOR webshell变体对数百台设备进行后门攻击，截至1月14日已发现1700多台ICS VPN设备被入侵。Shadowserver跟踪到超过16800台暴露在网的ICS VPN设备，其中近5000台在美国，凸显了攻击面之大。
补丁缺失下的缓解与自查要点
由于Ivanti尚未发布针对这两个漏洞的补丁，管理员应按照供应商建议在所有ICS VPN上应用缓解措施，并运行Ivanti的完整性检查工具。一旦发现漏洞迹象，需将设备上的所有数据（包括密码和机密）视为已损坏。Mandiant还发现攻击中部署了五种定制恶意软件，如Zipline后门、Thinspool Dropper等，用于投放webshell和窃取凭证，因此仅靠边界防护不足，需结合完整性检查与凭证轮换。
Q&A
Ivanti Connect Secure 最近曝出了哪些零日漏洞？
两个零日漏洞：CVE-2023-46805（身份验证绕过）和 CVE-2024-21887（命令注入），影响 Ivanti Connect Secure VPN 和 Policy Secure NAC 设备。
这些漏洞目前是否已被大规模利用？攻击目标有哪些？
是的，自1月11日起已被大规模利用。受害者遍布全球，包括政府、军事部门、国家电信公司、国防承包商、技术公司、银行、金融和会计机构、全球咨询公司以及航天、航空和工程公司等。
攻击者利用这些漏洞时使用了哪些恶意软件？
攻击者部署了五种定制恶意软件，包括 ZIPLINE 被动后门、Thinspool Dropper、Wirefire 网络外壳、Lightwire 网络外壳、Warpwire 收集器，以及 PySoxy 隧道器和 BusyBox 等工具，用于投放 webshell、附加恶意有效载荷和窃取凭证。
目前有多少设备暴露并可能受影响？
Shadowserver 跟踪到超过 16800 台暴露在网上的 ICS VPN 设备，其中近 5000 台在美国；Shodan 发现超过 15000 台暴露的 Ivanti ICS VPN。Volexity 发现 1700 多台 ICS VPN 设备被 GIFTEDVISITOR webshell 入侵。
Ivanti 是否发布了补丁？管理员应采取哪些缓解措施？
Ivanti 尚未发布补丁，但建议管理员在所有 ICS VPN 上应用供应商提供的缓解措施，并运行 Ivanti 的“完整性检查工具”。若发现漏洞迹象，应将设备上的所有数据（包括密码和机密）视为已损坏。
ZIPLINE 后门有什么特殊危害？
ZIPLINE 是一个被动后门，能够拦截传入的网络流量，并提供文件传输、反向外壳、隧道和代理功能，危害较大。
