RESURGE kenkėjiška programa: kibernetinė grėsmė, nukreipta į „Ivanti“ įrenginius

RESURGE kenkėjiška programa iškyla kaip sudėtinga kibernetinio saugumo grėsmė, ypač nukreipta į Ivanti Connect Secure (ICS) įrenginių spragas. Pasak JAV kibernetinio saugumo ir infrastruktūros saugumo agentūros (CISA) , RESURGE remiasi anksčiau identifikuotu kenkėjiškų programų variantu, žinomu kaip SPAWNCHIMERA , tačiau su žymiais patobulinimais, kurie daro ją patvaresnę ir pavojingesnę.

Užuot sukėlus nerimą, šiuo straipsniu siekiama informuoti IT specialistus, saugos analitikus ir organizacijas apie RESURGE, kaip jis veikia ir ką galima padaryti norint sumažinti riziką.

Kas yra RESURGE kenkėjiška programa?

RESURGE yra daugiafunkcinė kenkėjiška programa, galinti veikti kaip rootkit, dropper, backdoor, bootkit, tarpinis serveris ir tuneris . Jis įdiegtas siekiant išnaudoti žinomą saugos pažeidžiamumą, identifikuotą kaip CVE-2025-0282 , kuris anksčiau paveikė Ivanti Connect Secure, Policy Secure ir Neurons for ZTA Gateways.

Šis konkretus pažeidžiamumas yra dėklo buferio perpildymo trūkumas, leidžiantis užpuolikams nuotoliniu būdu vykdyti kenkėjišką kodą. Jei nepataisoma, ji gali suteikti kibernetiniams nusikaltėliams slaptą ir nuolatinį įsitvirtinimą pažeistuose tinkluose.

CISA atlikta RESURGE analizė rodo, kad ji turi panašumų su SPAWNCHIMERA – atnaujintu SPAWN kenkėjiškų programų ekosistemos variantu, priskirtu Kinijoje veikiančiai šnipinėjimo grupei (UNC5337). Tačiau RESURGE žengia toliau, įtraukdama papildomų galimybių, todėl ji yra veiksmingesnė priemonė kibernetiniams įsilaužimams.

Kaip veikia RESURGE?

Įdiegtas pažeidžiamame „Ivanti“ įrenginyje, RESURGE atlieka daugybę sudėtingų funkcijų:

1. Patvarumas ir sistemos manipuliavimas
   • Jis gali atlaikyti sistemos paleidimą iš naujo, užtikrinant, kad jis išliktų net ir iš naujo paleidus įrenginį.
   • Ji pakeičia sistemos vientisumo patikras ir pakeičia pagrindinius failus, kad būtų išvengta aptikimo.
2. Web Shell diegimas
   • Tai leidžia pasiekti žiniatinklio apvalkalą, kurį galima išnaudoti kredencialų vagystei, neteisėtam paskyros kūrimui, slaptažodžio nustatymui iš naujo ir privilegijų eskalavimui.
   • Užpuolikai gali naudotis šia prieiga, kad išlaikytų sistemos kontrolę ir palengvintų tolesnį įsibrovimą.
3. Įkrovos lygio manipuliavimas
   • RESURGE gali nukopijuoti kenkėjiškus žiniatinklio apvalkalus į veikiantį Ivanti įrenginio įkrovos diską.
   • Jis taip pat turi galimybę manipuliuoti veikiančiu pagrindinio įkrovos vaizdu, kuris užtikrina gilų sistemos lygio valdymą.

Kodėl RESURGE kelia susirūpinimą?

RESURGE buvimas pažeistose sistemose kelia rimtų pasekmių saugumui:

• Duomenų pažeidimas ir šnipinėjimas: užpuolikai gali naudoti kenkėjišką programą, kad pavogtų slaptus kredencialus, manipuliuotų prieigos valdikliais ir rinktų žvalgybos informaciją.
• Kompromisas tinkle: kenkėjiškos programos tarpinio serverio ir tuneliavimo galimybės leidžia sukurti užpakalinių durų ryšius, leidžiančius išorinėms grėsmėms nepastebimai pasiekti vidinius tinklus.
• Kenkėjiškų programų evoliucija: faktas, kad RESURGE remiasi ankstesnėmis kenkėjiškomis programomis, rodo, kad jos operatoriai nuolat tobulina savo taktiką, todėl tikėtina, kad būsimi variantai bus dar atsparesni ir sunkiau aptinkami.

Pažymėtina, kad „Microsoft“ taip pat susiejo CVE-2025-0282 pažeidžiamumą su kita su Kinija susijusia grėsmių grupe „Silk Typhoon“ (anksčiau – „Hafnium“). Tai rodo, kad kelios kibernetinio šnipinėjimo grupės aktyviai naudojasi Ivanti pažeidžiamumu įvairioms atakų kampanijoms.

Kaip organizacijos gali apsisaugoti?

Kadangi RESURGE išnaudoja žinomą saugumo trūkumą, pataisymas išlieka svarbiausia gynybos strategija. „Ivanti“ išleido atnaujinimus, kad ištaisytų pažeidžiamumą, o organizacijos raginamos nedelsiant pritaikyti šiuos pataisymus.

Be pataisymo, saugos komandos turėtų imtis papildomų atsargumo priemonių, kad sumažintų kompromiso riziką:

• Iš naujo nustatyti ir pasukti kredencialus:
  • Pakeiskite visų domeno vartotojų ir vietinių paskyrų slaptažodžius, kurie galėjo būti paveikti.
  • Iš naujo nustatykite privilegijuotų ir neprivilegijuotų paskyrų kredencialus, kad išvengtumėte neteisėtos prieigos.
• Peržiūrėkite ir koreguokite prieigos politiką:
  • Laikinai atšaukti paveiktų įrenginių administravimo teises.
  • Jei įmanoma, įdiekite kelių veiksnių autentifikavimą (MFA), kad pridėtumėte papildomą saugos lygį.
• Stebėti anomalijas:
  • Aktyviai peržiūrėkite tinklo ir sistemos žurnalus, ar nėra neįprastos veiklos, ypač bandymų neteisėtai pasiekti.
  • Įdiekite galinių taškų aptikimo ir atsako (EDR) sprendimus, kad aptiktumėte ir neutralizuotumėte galimą kenkėjiškų programų elgesį.
• Atlikite saugumo auditą:
  • Reguliariai tikrinkite ugniasienės taisykles, sistemos vientisumą ir prieigos žurnalus, kad įsitikintumėte, jog nebuvo atlikta neteisėtų pakeitimų.
  • Įdiekite griežtą kritinių sistemų ir atvirų paslaugų segmentavimą, kad sumažintumėte pažeidimo poveikį.

Apatinė eilutė

Kenkėjiškos programinės įrangos RESURGE atradimas išryškina nuolat besikeičiantį kibernetinių grėsmių pobūdį, ypač susijusių su valstybės remiamomis šnipinėjimo kampanijomis. Nors ši kenkėjiška programa yra labai sudėtinga, organizacijos gali sumažinti jos riziką, išlikdamos budrios, taikydamos pataisas ir vykdydamos griežtą saugos politiką.

Imdamosi iniciatyvios pozicijos dėl kibernetinio saugumo, įmonės ir vyriausybės subjektai gali užtikrinti, kad jų „Ivanti“ įrenginiai ir platesnė IT infrastruktūra išliktų apsaugoti nuo kylančių grėsmių. RESURGE – tai priminimas, kad kibernetinis saugumas yra ne vienkartinės pastangos, o nuolatinis prisitaikymo ir gynybos procesas.