Logiciel malveillant RESURGE : une cybermenace ciblant les appareils Ivanti

Le malware RESURGE se présente comme une menace de cybersécurité sophistiquée, ciblant spécifiquement les vulnérabilités des appliances Ivanti Connect Secure (ICS) . Selon l' Agence américaine pour la cybersécurité et la sécurité des infrastructures (CISA) , RESURGE s'appuie sur une variante de malware déjà identifiée, SPAWNCHIMERA , mais avec des améliorations notables qui la rendent plus persistante et plus dangereuse.

Plutôt que de provoquer l’alarme, cet article vise à informer les professionnels de l’informatique, les analystes de sécurité et les organisations sur RESURGE, son fonctionnement et ce qui peut être fait pour atténuer ses risques.

Qu'est-ce que le malware RESURGE ?

RESURGE est un malware multifonctionnel capable d'opérer comme rootkit, dropper, backdoor, bootkit, proxy et tunneler . Il est déployé pour exploiter une vulnérabilité de sécurité connue, identifiée comme CVE-2025-0282 , qui affectait auparavant Ivanti Connect Secure, Policy Secure et Neurons for ZTA Gateways.

Cette vulnérabilité particulière est une faille de dépassement de mémoire tampon (buffer overflow) qui permet aux attaquants d'exécuter du code malveillant à distance. Si elle n'est pas corrigée, elle peut permettre aux cybercriminels de s'implanter furtivement et durablement dans les réseaux compromis.

L'analyse de RESURGE par la CISA suggère qu'il présente des similitudes avec SPAWNCHIMERA, une variante améliorée de l'écosystème de logiciels malveillants SPAWN attribuée à un groupe d'espionnage basé en Chine (UNC5337). Cependant, RESURGE va plus loin en intégrant des fonctionnalités supplémentaires, ce qui en fait un outil plus efficace pour les cyberintrusions.

Comment fonctionne RESURGE ?

Une fois déployé sur un appareil Ivanti vulnérable, RESURGE exécute une série de fonctions sophistiquées :

1. Persistance et manipulation du système
   • Il peut survivre aux redémarrages du système, garantissant que sa présence reste même après le redémarrage de l'appareil.
   • Il modifie les contrôles d’intégrité du système et altère les fichiers clés pour échapper à la détection.
2. Déploiement de Web Shell
   • Il permet l'accès au shell Web, qui peut être exploité pour le vol d'informations d'identification, la création de compte non autorisée, la réinitialisation de mot de passe et l'élévation des privilèges.
   • Les attaquants peuvent utiliser cet accès pour garder le contrôle du système et faciliter de nouvelles intrusions.
3. Manipulation au niveau du démarrage
   • RESURGE peut copier des shells Web malveillants sur le disque de démarrage en cours d'exécution du périphérique Ivanti.
   • Il a également la capacité de manipuler l'image coreboot en cours d'exécution, ce qui offre un contrôle approfondi au niveau du système.

Pourquoi RESURGE est-il une préoccupation ?

La présence de RESURGE dans les systèmes compromis pose de graves problèmes de sécurité :

• Violation de données et espionnage : les attaquants peuvent utiliser le logiciel malveillant pour voler des informations d'identification sensibles, manipuler les contrôles d'accès et recueillir des renseignements.
• Compromission du réseau : les capacités de proxy et de tunneling du logiciel malveillant lui permettent de créer des connexions de porte dérobée, permettant aux menaces externes d'accéder aux réseaux internes sans se faire remarquer.
• Évolution des logiciels malveillants : le fait que RESURGE s'appuie sur des souches de logiciels malveillants précédentes suggère que ses opérateurs affinent continuellement leurs tactiques, ce qui rend probable que les futures variantes seront encore plus résistantes et plus difficiles à détecter.

Microsoft a également lié la vulnérabilité CVE-2025-0282 à un autre groupe malveillant lié à la Chine, Silk Typhoon (anciennement Hafnium). Cela indique que plusieurs groupes de cyberespionnage exploitent activement les vulnérabilités d'Ivanti pour diverses campagnes d'attaque.

Comment les organisations peuvent-elles se protéger ?

RESURGE exploitant une faille de sécurité connue, l'application de correctifs reste la stratégie de défense la plus critique. Ivanti a publié des mises à jour pour corriger la vulnérabilité, et les entreprises sont invitées à appliquer ces correctifs immédiatement.

Au-delà des correctifs, les équipes de sécurité doivent prendre des précautions supplémentaires pour minimiser le risque de compromission :

• Réinitialiser et faire pivoter les informations d'identification :
  • Modifiez les mots de passe de tous les utilisateurs du domaine et des comptes locaux susceptibles d’avoir été affectés.
  • Réinitialisez les informations d’identification des comptes privilégiés et non privilégiés pour empêcher tout accès non autorisé.
• Réviser et ajuster les politiques d’accès :
  • Révoquez temporairement les privilèges administratifs sur les appareils concernés.
  • Mettez en œuvre l’authentification multifacteur (MFA) lorsque cela est possible pour ajouter une couche de sécurité supplémentaire.
• Surveiller les anomalies :
  • Examinez activement les journaux réseau et système pour détecter toute activité inhabituelle, en particulier les tentatives d’accès non autorisées.
  • Déployez des solutions de détection et de réponse aux points de terminaison (EDR) pour détecter et neutraliser les comportements potentiels des logiciels malveillants.
• Réaliser des audits de sécurité :
  • Vérifiez régulièrement les règles du pare-feu, l’intégrité du système et les journaux d’accès pour vous assurer qu’aucune modification non autorisée n’a été effectuée.
  • Mettre en œuvre une segmentation stricte entre les systèmes critiques et les services exposés pour limiter l’impact d’une violation.

En résumé

La découverte du malware RESURGE met en évidence l'évolution constante des cybermenaces, notamment celles liées aux campagnes d'espionnage commanditées par des États. Malgré la sophistication de ce malware, les entreprises peuvent atténuer ses risques en restant vigilantes, en appliquant des correctifs et en appliquant des politiques de sécurité strictes.

En adoptant une approche proactive en matière de cybersécurité, les entreprises et les administrations publiques peuvent garantir la protection de leurs appliances Ivanti, et de leur infrastructure informatique au sens large, contre les menaces émergentes. RESURGE rappelle que la cybersécurité n'est pas un effort ponctuel, mais un processus continu d'adaptation et de défense.