Phân tích kỹ thuật chuỗi lỗ hổng zero-day trên thiết bị Ivanti Connect Secure

Các nhà nghiên cứu bảo mật vừa công bố báo cáo chi tiết về một chiến dịch tấn công mạng tinh vi nhắm vào các thiết bị VPN Ivanti Connect Secure. Bằng cách xâu chuỗi ba lỗ hổng zero-day, kẻ tấn công đã đạt được quyền truy cập cấp root mà không cần thông qua xác thực, từ đó tiến hành thu thập dữ liệu nhạy cảm từ hệ thống Active Directory của tổ chức.

Chiến dịch tấn công và phương thức khai thác

Chiến dịch này bắt đầu từ ngày 3 tháng 10 năm 2026, nhắm vào các thiết bị đã được cập nhật đầy đủ phiên bản 22.8R2.4, cho thấy việc duy trì phiên bản phần mềm mới nhất vẫn không đủ để ngăn chặn các lỗ hổng chưa từng được biết đến. Nhóm nghiên cứu theo dõi tác nhân này với định danh UTA0576.

Chuỗi khai thác bao gồm việc kết hợp một lỗ hổng bypass xác thực và một lỗ hổng ghi file trái phép, được Ivanti theo dõi chung dưới mã CVE-2026-104935. Sau khi chiếm được quyền thực thi mã dưới tư cách người dùng cgi-server, kẻ tấn công tiếp tục sử dụng một lỗ hổng leo thang đặc quyền thứ ba để đạt quyền root trên thiết bị.

Kỹ thuật qua mặt hệ thống phòng thủ

Kẻ tấn công lợi dụng cách xử lý các yêu cầu web của thiết bị. Bằng cách chèn header X-DSCGI-PATH vào các yêu cầu gửi đến script đăng nhập công khai, chúng có thể điều hướng thiết bị đến các script được bảo vệ. Sau đó, thông qua trình xử lý tải lên file, kẻ tấn công tạm thời đặt một script độc hại lên thiết bị và thực thi nó bằng cách gửi các yêu cầu liên tiếp với tốc độ cao trước khi hệ thống kịp xóa file.

Sau khi có quyền thực thi mã, UTA0576 sử dụng dịch vụ dsinvoked để leo thang đặc quyền lên root bằng cách thay đổi dữ liệu cấu hình trong bộ nhớ, thực thi tác vụ độc hại và sau đó khôi phục lại cấu hình gốc để xóa dấu vết. Kẻ tấn công cũng thực hiện xóa các mục nhật ký debug và nhật ký hệ thống Linux để tránh bị phát hiện bởi công cụ Integrity Checker của Ivanti.

Khuyến nghị bảo mật cho quản trị viên

Việc quét file sạch hoặc không tìm thấy web shell không đảm bảo thiết bị an toàn. Kẻ tấn công hoạt động chủ yếu trong bộ nhớ và sử dụng kênh HTTPS để nhận lệnh, khiến việc phát hiện qua các phương pháp truyền thống trở nên khó khăn. Các quản trị viên cần thực hiện ngay các bước bảo vệ hệ thống và tham khảo tài liệu từ CISA cũng như các đơn vị nghiên cứu bảo mật uy tín để biết thêm chi tiết.