RESURGE Malware: A Cyber Threat Targeting Ivanti Devices

A RESURGE malware kifinomult kiberbiztonsági fenyegetésként jelenik meg, különösen az Ivanti Connect Secure (ICS) készülékek sebezhetőségeit célozva. Az Egyesült Államok Kiberbiztonsági és Infrastruktúra-biztonsági Ügynöksége (CISA) szerint a RESURGE egy korábban azonosított, SPAWNCHIMERA néven ismert rosszindulatú programváltozatra épül, de jelentős fejlesztésekkel, amelyek tartósabbá és veszélyesebbé teszik.

Ez a cikk nem riasztást kelt, hanem az informatikai szakembereket, biztonsági elemzőket és szervezeteket szeretné tájékoztatni a RESURGE-ról, annak működéséről és a kockázatok csökkentése érdekében teendőkről.

Mi az a RESURGE rosszindulatú program?

A RESURGE egy többfunkciós rosszindulatú program , amely rootkitként, dropperként, hátsó ajtóként, indítókészletként, proxyként és tunnelerként képes működni. Egy ismert, CVE-2025-0282 jelzésű biztonsági rés kihasználására kerül telepítésre, amely korábban az Ivanti Connect Secure, Policy Secure és Neurons for ZTA Gateways szoftvereket érintette.

Ez a biztonsági rés egy veremalapú puffertúlcsordulási hiba, amely lehetővé teszi a támadók számára, hogy rosszindulatú kódokat távolról hajtsanak végre. Ha nem javítják, akkor a kiberbűnözők lopakodó és kitartó támaszt nyújthatnak a kompromittált hálózatokban.

A CISA RESURGE-elemzése azt sugallja, hogy hasonlóságokat mutat a SPAWNCHIMERA-val, a SPAWN malware ökoszisztéma továbbfejlesztett változatával, amelyet egy kínai székhelyű kémcsoportnak tulajdonítanak (UNC5337). A RESURGE azonban tovább megy azáltal, hogy további képességeket épít be, így a számítógépes behatolások hatékonyabb eszköze.

Hogyan működik a RESURGE?

Egy sebezhető Ivanti eszközön történő üzembe helyezés után a RESURGE egy sor kifinomult funkciót hajt végre:

1. Kitartás és rendszermanipuláció
   • Túléli a rendszer újraindítását, biztosítva, hogy jelenléte az eszköz újraindítása után is megmaradjon.
   • Módosítja a rendszerintegritás-ellenőrzéseket, és módosítja a kulcsfájlokat az észlelés elkerülése érdekében.
2. Web Shell telepítése
   • Lehetővé teszi a webes shell hozzáférést, amely felhasználható hitelesítő adatok ellopására, jogosulatlan fiók létrehozására, jelszavak visszaállítására és a jogosultságok kiterjesztésére.
   • A támadók ezt a hozzáférést használhatják a rendszer feletti ellenőrzés fenntartására és a további behatolások elősegítésére.
3. Boot-szintű manipuláció
   • A RESURGE képes a rosszindulatú webhéjakat az Ivanti eszköz futó rendszerindító lemezére másolni.
   • Ezenkívül képes a futó coreboot image manipulálására, amely mély rendszerszintű vezérlést biztosít.

Miért aggaszt a RESUGE?

A RESURGE jelenléte a feltört rendszerekben komoly biztonsági következményekkel jár:

• Adatszivárgás és kémkedés: A támadók a rosszindulatú programot érzékeny hitelesítő adatok ellopására, hozzáférés-szabályozás manipulálására és információgyűjtésre használhatják.
• Hálózati kompromisszum: A rosszindulatú program proxy- és alagútkezelési képességei lehetővé teszik, hogy hátsó ajtós kapcsolatokat hozzon létre, lehetővé téve a külső fenyegetések számára, hogy észrevétlenül hozzáférjenek a belső hálózatokhoz.
• Malware Evolution: Az a tény, hogy a RESURGE a korábbi rosszindulatú programokra épít, azt sugallja, hogy üzemeltetői folyamatosan finomítják taktikájukat, ami valószínűsíti, hogy a jövőbeni változatok még rugalmasabbak és nehezebben észlelhetők lesznek.

A Microsoft a CVE-2025-0282 biztonsági rést egy másik, Kínával kapcsolatos fenyegetéscsoporttal, a Silk Typhoon-nal (korábban Hafnium) is összekapcsolta. Ez azt jelzi, hogy több internetes kémcsoport aktívan használja ki az Ivanti sebezhetőségét különböző támadási kampányokhoz.

Hogyan védhetik meg magukat a szervezetek?

Mivel a RESURGE egy ismert biztonsági hibát kihasznál, a javítás továbbra is a legkritikusabb védelmi stratégia. Az Ivanti frissítéseket adott ki a sérülékenység javítására, és a szervezeteket arra kérik, hogy azonnal telepítsék ezeket a javításokat.

A javításon túl a biztonsági csapatoknak további óvintézkedéseket kell tenniük a kompromittálás kockázatának minimalizálása érdekében:

• Hitelesítési adatok visszaállítása és elforgatása:
  • Módosítsa az összes érintett tartományfelhasználó és helyi fiók jelszavát.
  • Állítsa vissza a jogosultságokkal rendelkező és nem jogosult fiókok hitelesítő adatait az illetéktelen hozzáférés megelőzése érdekében.
• A hozzáférési szabályzatok áttekintése és módosítása:
  • Ideiglenesen vonja vissza a rendszergazdai jogosultságokat az érintett eszközökön.
  • Ha lehetséges, hajtson végre többtényezős hitelesítést (MFA) egy további biztonsági réteg hozzáadásához.
• Anomáliák figyelése:
  • Aktívan ellenőrizze a hálózati és rendszernaplókat szokatlan tevékenységek, különösen jogosulatlan hozzáférési kísérletek keresésére.
  • Vezessen be végpont-észlelési és válaszadási (EDR) megoldásokat az esetleges rosszindulatú programok észlelésére és semlegesítésére.
• Biztonsági auditok lefolytatása:
  • Rendszeresen ellenőrizze a tűzfalszabályokat, a rendszer integritását és a hozzáférési naplókat, hogy biztosítsa, nem történt-e jogosulatlan módosítás.
  • Végezzen szigorú szegmentálást a kritikus rendszerek és a kitett szolgáltatások között, hogy korlátozza a jogsértés hatását.

Bottom Line

A RESURGE kártevő felfedezése rávilágít a kiberfenyegetések folyamatosan fejlődő természetére, különösen az államilag támogatott kémkampányokhoz kapcsolódóké. Noha ez a rosszindulatú program rendkívül kifinomult, a szervezetek éberséggel, javítások alkalmazásával és szigorú biztonsági szabályzatok betartatásával mérsékelhetik kockázatait.

Azzal, hogy proaktív álláspontot képviselnek a kiberbiztonsággal kapcsolatban, a vállalkozások és a kormányzati szervek biztosíthatják, hogy Ivanti készülékeik – és a szélesebb informatikai infrastruktúra – továbbra is védettek maradjanak a felmerülő fenyegetésekkel szemben. A RESURGE emlékeztet arra, hogy a kiberbiztonság nem egyszeri erőfeszítés, hanem az alkalmazkodás és a védekezés folyamatos folyamata.