RESURGE Malware: En cybertrussel rettet mod Ivanti-enheder

RESURGE malware dukker op som en sofistikeret cybersikkerhedstrussel, der specifikt retter sig mod sårbarheder i Ivanti Connect Secure (ICS) -apparater. Ifølge US Cybersecurity and Infrastructure Security Agency (CISA) bygger RESURGE på en tidligere identificeret malware-variant kendt som SPAWNCHIMERA , men med bemærkelsesværdige forbedringer, der gør den mere vedvarende og farlig.

I stedet for at forårsage alarm har denne artikel til formål at informere it-professionelle, sikkerhedsanalytikere og organisationer om RESURGE, hvordan det fungerer, og hvad der kan gøres for at mindske dets risici.

Hvad er RESURGE Malware?

RESURGE er en multifunktionel malware, der kan fungere som et rootkit, dropper, bagdør, bootkit, proxy og tunneler . Den er implementeret for at udnytte en kendt sikkerhedssårbarhed, identificeret som CVE-2025-0282 , som tidligere har påvirket Ivanti Connect Secure, Policy Secure og Neurons for ZTA Gateways.

Denne særlige sårbarhed er en stakbaseret bufferoverløbsfejl, der lader angribere udføre ondsindet kode eksternt. Hvis den efterlades uden opdatering, kan den give cyberkriminelle et snigende og vedvarende fodfæste i kompromitterede netværk.

CISA's analyse af RESURGE antyder, at det deler ligheder med SPAWNCHIMERA, en opgraderet variant af SPAWN malware-økosystemet, der tilskrives en Kina-baseret spionagegruppe (UNC5337). RESURGE går dog længere ved at inkorporere yderligere muligheder, hvilket gør det til et mere effektivt værktøj til cyberindtrængen.

Hvordan virker RESURGE?

Når den er installeret på en sårbar Ivanti-enhed, udfører RESURGE en række sofistikerede funktioner:

1. Vedholdenhed og systemmanipulation
   • Det kan overleve systemgenstarter og sikre, at dets tilstedeværelse forbliver, selv efter at enheden er genstartet.
   • Det ændrer systemintegritetstjek og ændrer nøglefiler for at undgå registrering.
2. Web Shell-implementering
   • Det muliggør web-shell-adgang, som kan udnyttes til tyveri af legitimationsoplysninger, uautoriseret kontooprettelse, nulstilling af adgangskode og eskalering af privilegier.
   • Angribere kan bruge denne adgang til at bevare kontrol over systemet og lette yderligere indtrængen.
3. Boot-Level Manipulation
   • RESURGE kan kopiere ondsindede web-skaller til den kørende boot-disk på Ivanti-enheden.
   • Det har også evnen til at manipulere det kørende coreboot-billede, hvilket giver dyb kontrol på systemniveau.

Hvorfor er RESURGE en bekymring?

Tilstedeværelsen af RESURGE i kompromitterede systemer har alvorlige sikkerhedsmæssige konsekvenser :

• Databrud og spionage: Angribere kan bruge malwaren til at stjæle følsomme legitimationsoplysninger, manipulere adgangskontrol og indsamle efterretninger.
• Netværkskompromis: Malwarens proxy- og tunnelfunktioner gør det muligt for den at skabe bagdørsforbindelser, hvilket tillader eksterne trusler at få adgang til interne netværk ubemærket.
• Malware Evolution: Det faktum, at RESURGE bygger på tidligere malware-stammer, tyder på, at dets operatører løbende raffinerer deres taktik, hvilket gør det sandsynligt, at fremtidige varianter vil være endnu mere modstandsdygtige og sværere at opdage.

Navnlig har Microsoft også knyttet CVE-2025-0282-sårbarheden til en anden Kina-associeret trusselgruppe, Silk Typhoon (tidligere Hafnium). Dette indikerer, at flere cyberspionagegrupper aktivt udnytter Ivanti-sårbarheder til forskellige angrebskampagner.

Hvordan kan organisationer beskytte sig selv?

Da RESURGE udnytter en kendt sikkerhedsbrist, er patching fortsat den mest kritiske forsvarsstrategi. Ivanti har udgivet opdateringer for at rette op på sårbarheden, og organisationer opfordres til at anvende disse patches med det samme.

Ud over patching bør sikkerhedsteams tage yderligere forholdsregler for at minimere risikoen for kompromittering:

• Nulstil og roter legitimationsoplysninger:
  • Skift adgangskoder for alle domænebrugere og lokale konti, der kan være blevet påvirket.
  • Nulstil legitimationsoplysninger for privilegerede og ikke-privilegerede konti for at forhindre uautoriseret adgang.
• Gennemgå og juster adgangspolitikker:
  • Tilbagekald midlertidigt administrative rettigheder på berørte enheder.
  • Implementer multi-factor authentication (MFA) hvor det er muligt for at tilføje et ekstra lag af sikkerhed.
• Overvåg for uregelmæssigheder:
  • Gennemgå aktivt netværks- og systemlogfiler for usædvanlig aktivitet, især uautoriseret adgangsforsøg.
  • Implementer EDR-løsninger (endpoint detection and response) for at opdage og neutralisere potentiel malwareadfærd.
• Udfør sikkerhedsrevisioner:
  • Revider regelmæssigt firewall-regler, systemintegritet og adgangslogfiler for at sikre, at der ikke er foretaget uautoriserede ændringer.
  • Implementer streng segmentering mellem kritiske systemer og eksponerede tjenester for at begrænse virkningen af et brud.

Bundlinje

Opdagelsen af RESURGE-malware fremhæver den stadigt udviklende karakter af cybertrusler, især dem, der er forbundet med statssponsorerede spionagekampagner. Selvom denne malware er meget sofistikeret, kan organisationer mindske dens risici ved at være på vagt, anvende patches og håndhæve stærke sikkerhedspolitikker.

Ved at tage en proaktiv holdning til cybersikkerhed kan virksomheder og offentlige enheder sikre, at deres Ivanti-apparater – og bredere it-infrastruktur – forbliver beskyttet mod nye trusler. RESURGE er en påmindelse om, at cybersikkerhed ikke er en engangsindsats, men en løbende proces med tilpasning og forsvar.