Ivanti VPN 零日漏洞正在被黑客利用
内容提要
Ivanti 公开了影响 Connect Secure VPN 的两个关键漏洞：CVE-2025-0282 和 CVE-2025-0283。其中，CVE-2025-0282 是严重的零日漏洞，攻击者可远程执行代码并部署恶意软件。Mandiant 报告称，攻击者利用多种恶意软件并具备高超的探测技术。Ivanti 正在处理这些漏洞并提供修复程序。
关键要点
-
Ivanti 公开披露了影响 Connect Secure VPN 的两个关键漏洞：CVE-2025-0282 和 CVE-2025-0283。
-
CVE-2025-0282 是严重的零日漏洞，攻击者可远程执行代码并部署恶意软件。
-
Mandiant 报告称，CVE-2025-0282 的利用活动始于 2024 年 12 月中旬，攻击者展示了高超的探测技术。
-
CVE-2025-0283 的信息尚未完全披露，但同样被认为是关键漏洞。
-
攻击者利用多种恶意软件，包括 SPAWN 生态系统和新发现的 DRYHOOK 和 PHASEJAM。
-
攻击者的典型攻击步骤包括禁用安全功能、写入恶意脚本和篡改系统日志。
-
攻击者植入持久化恶意软件组件，确保即使系统被修补，仍能保持访问权限。
-
PHASEJAM 恶意软件通过虚假升级进度条劫持系统升级过程，确保攻击不被发现。
-
Ivanti 和 Mandiant 认为此次攻击活动可能与间谍活动有关，泄露了 VPN 会话数据和凭证。
-
Ivanti 正在处理这两个零日漏洞，并提供修复程序。
延伸解读
漏洞影响的广泛性
CVE-2025-0282 和 CVE-2025-0283 的存在不仅影响 Ivanti 的 Connect Secure VPN，还可能波及使用该设备的多个组织。攻击者利用这些漏洞进行定向攻击，表明其潜在的危害性和广泛性，组织应加强对网络安全的重视，及时更新和修补系统。
攻击者的技术手段
Mandiant 报告指出，攻击者在利用漏洞时展示了高超的探测技术，能够识别特定软件版本的弱点。这种技术手段使得攻击更加精准，受害者难以防范。因此，组织在进行安全防护时，需关注软件版本的更新和漏洞的及时修补，以降低被攻击的风险。
持久化恶意软件的威胁
攻击者植入的持久化恶意软件组件使得即使系统被修补，攻击者仍能保持访问权限。这种策略显著增加了恢复的难度，组织在应对网络攻击时，需考虑到潜在的持久化威胁，定期进行全面的安全审计和监控，以发现并清除潜在的恶意软件。
延伸问答
CVE-2025-0282 漏洞的主要风险是什么？
CVE-2025-0282 是一个严重的零日漏洞，攻击者可以远程执行代码并部署恶意软件，导致网络安全风险。
Mandiant 对 CVE-2025-0282 的利用活动有什么发现？
Mandiant 报告称，CVE-2025-0282 的利用活动始于 2024 年 12 月中旬，攻击者展示了高超的探测技术，针对特定软件版本进行攻击。
攻击者使用了哪些恶意软件？
攻击者利用了多种恶意软件，包括 SPAWN 生态系统、DRYHOOK 和 PHASEJAM。
Ivanti 对这些漏洞的应对措施是什么？
Ivanti 正在处理 CVE-2025-0282 和 CVE-2025-0283 漏洞，并提供修复程序。
CVE-2025-0283 漏洞的情况如何？
CVE-2025-0283 的信息尚未完全披露，但同样被认为是关键漏洞。
攻击者是如何隐藏入侵痕迹的？
攻击者通过禁用安全功能、篡改系统日志和删除入侵证据来隐藏入侵痕迹。
