Invasores exploraram uma cadeia de vulnerabilidades zero-day em equipamentos de rede privada virtual (VPN) Ivanti Connect Secure (ICS), o que lhes permitiu executar comandos com acesso root, roubar credenciais e sondar redes internas.
A Volexity identificou o invasor desconhecido como UTA0576 e rastreou a exploração até 3 de outubro de 2026, com alvo em um equipamento que estava totalmente corrigido na época.
Em uma atualização de alerta de segurança divulgada em 29 de outubro, a Ivanti identificou três vulnerabilidades envolvidas nos ataques: CVE-2026-104935, CVE-2026-111357 e CVE-2026-118527. CVE é a sigla para Common Vulnerabilities and Exposures (catálogo de vulnerabilidades e exposições comuns). A empresa informou que a exploração afetou um número limitado de clientes e lançou correções adicionais para resolver as falhas restantes.
A investigação amplia a cadeia de exploração de zero-day em VPN da Ivanti divulgada anteriormente, que combinava contorno de autenticação, execução de arquivos maliciosos e escalonamento de privilégios, sem exigir credenciais válidas.
Vulnerabilidades zero-day do Ivanti Connect Secure
A Volexity começou a investigar atividade suspeita em 5 de outubro e identificou um equipamento ICS executando a versão 22.8R2.4, Build 19097, como origem da invasão.
O contorno inicial explorou o tratamento inconsistente de requisições entre o endpoint de login público do equipamento e o roteamento do back-end CGI (Common Gateway Interface, interface comum de gateway). Os invasores enviaram requisições para welcome.cgi manipulando um cabeçalho de roteamento, o que lhes permitiu acessar scripts CGI protegidos sem autenticação.
Em seguida, o UTA0576 abusou do manipulador de upload wu.cgi, que gravava o conteúdo enviado em disco antes de validar se se tratava de um arquivo ZIP legítimo. Um script Perl malicioso permaneceu acessível por pouco tempo antes de ser excluído.
Requisições paralelas aproveitaram essa janela de tempo para executar o script enviado sob a conta cgi-server. Uma etapa posterior em Python então teve como alvo o serviço privilegiado dsinvoked.
Esse serviço confiava na configuração de tarefas de manutenção armazenada no DSCache. Ao modificar temporariamente uma biblioteca em memória e redirecionar uma tarefa de manutenção, o invasor executou código malicioso com privilégios root. A carga maliciosa restaurou em seguida a configuração e o estado da memória alterados.
A Ivanti inicialmente registrou o contorno de autenticação e a execução remota sob a CVE-2026-104935, com pontuação CVSS 8.6 (Common Vulnerability Scoring System, sistema de pontuação de vulnerabilidades comuns). A atualização de outubro atribui a CVE-2026-111357, com pontuação 8.8, ao escalonamento de privilégios, e a CVE-2026-118527, com pontuação 4.3, a uploads de arquivos com nomes previsíveis.
Após obter o controle, o UTA0576 extraiu credenciais do equipamento e usou uma conta de serviço do Active Directory para consultar informações sensíveis do diretório. Os alvos incluíam senhas de administrador do Windows LAPS (Local Administrator Password Solution, solução de senha de administrador local), chaves de recuperação do BitLocker, atributos que armazenam senhas e metadados de contas.
Utilitários personalizados em Python deram suporte a consultas LDAP (Lightweight Directory Access Protocol, protocolo leve de acesso a diretórios) e a testes de credenciais Kerberos. Os investigadores também observaram password spraying (teste de senhas comuns em muitas contas), reconhecimento de DNS interno (Sistema de Nomes de Domínio), inspeção de logs de autenticação e análise de capturas de pacotes voltadas à recuperação de credenciais ou de material de autenticação.
Diferentemente de ataques anteriores da Ivanti, que implantavam o DslogdRAT (trojan de acesso remoto, ou RAT) e web shells, esta operação não dependeu de um web shell implantado nem de uma backdoor persistente. Comandos e resultados trafegaram por requisições HTTPS (protocolo HTTP seguro) associadas à exploração repetida.
O UTA0576 removeu seletivamente evidências dos logs de depuração da Ivanti e dos logs de auditoria do Linux. Modificações feitas apenas em memória e a posterior restauração dos dados de configuração também limitaram a utilidade de verificações de integridade baseadas em disco.
A atualização de 29 de outubro lista as versões 25.1.1.3 e 22.8R2.6 como correções para as vulnerabilidades divulgadas. As organizações devem seguir o caminho de atualização aplicável no alerta de segurança da Ivanti, levando em conta os requisitos de hardware e de implantação.
Administradores devem investigar atividades suspeitas nos equipamentos, avaliar credenciais de contas de serviço expostas e examinar possível movimentação lateral. Um resultado limpo na verificação de integridade, por si só, não descarta comprometimento. Capturas de memória, imagens de disco e core dumps relacionados à exploração foram essenciais para reconstruir essa invasão.
A Volexity avaliou que o roubo de credenciais e o reconhecimento observados indicavam preparação para um comprometimento mais amplo da rede. No entanto, os investigadores não conseguiram determinar os objetivos finais do invasor antes de interromperem a operação.
