Рост эксплуатации уязвимостей нулевого дня в Ivanti: атаки связаны с кампаниями июля 2025 года

Рост эксплуатации уязвимостей нулевого дня в Ivanti: атаки с июля 2025 года

Эксперты по кибербезопасности зафиксировали значительный рост эксплуатации уязвимостей нулевого дня (zero-day) в продуктах Ivanti. Атаки, как выяснилось, начались ещё в июле 2025 года. Злоумышленники используют эти уязвимости для установки веб-оболочек (web shells), проведения разведки (reconnaissance) и загрузки вредоносного ПО (malware) на скомпрометированные системы.

Технические детали

Хотя конкретные CVE-идентификаторы в первоначальных отчётах не раскрываются, атаки направлены на корпоративные продукты Ivanti, широко применяемые для удалённого доступа, управления конечными точками и сетевой безопасности. Исследователи выявили следующие тактики:

• Развёртывание веб-оболочек: злоумышленники устанавливают постоянные бэкдоры для поддержания доступа.
• Разведывательные действия: атакующие сканируют сети в поисках конфиденциальных данных и дополнительных уязвимостей.
• Загрузка вредоносного ПО: на скомпрометированные системы загружаются вторичные полезные нагрузки для дальнейшего проникновения.

Хронология атак указывает на то, что они могли оставаться незамеченными на протяжении нескольких месяцев, причём июль 2025 года стал самой ранней подтверждённой датой эксплуатации.

Анализ последствий

Продукты Ivanti играют критически важную роль во многих корпоративных средах, часто обеспечивая привилегированный доступ и обработку конфиденциальных данных. Успешная эксплуатация уязвимостей может привести к:

• Латеральному перемещению внутри корпоративных сетей.
• Эксфильтрации данных или развёртыванию программ-вымогателей.
• Постоянному доступу для долгосрочного шпионажа или саботажа.

Учитывая широкое распространение решений Ivanti, особому риску подвергаются организации в сферах государственного управления, здравоохранения и финансов.

Рекомендации для служб безопасности

1. Оперативно устанавливайте патчи: применяйте последние обновления безопасности от Ivanti сразу после их выпуска.
2. Мониторьте индикаторы компрометации (IoC): проверяйте журналы на предмет подозрительной активности веб-оболочек, несанкционированного доступа или неожиданных исходящих соединений.
3. Сегментируйте сети: ограничьте латеральное перемещение, изолировав критически важные системы.
4. Усильте обнаружение угроз: разверните решения EDR/XDR для выявления постэксплуатационного поведения.
5. Оцените сторонние риски: проанализируйте уязвимости через поставщиков или партнёров, использующих продукты Ivanti.

SecurityWeek будет предоставлять обновления по мере появления новых технических деталей и официальных патчей.