RESURGE Malware: A Cyber Threat rettet mot Ivanti-enheter

RESURGE skadevare dukker opp som en sofistikert cybersikkerhetstrussel, spesifikt rettet mot sårbarheter i Ivanti Connect Secure (ICS) -enheter. I følge US Cybersecurity and Infrastructure Security Agency (CISA) bygger RESURGE på en tidligere identifisert malware-variant kjent som SPAWNCHIMERA , men med bemerkelsesverdige forbedringer som gjør den mer vedvarende og farlig.

I stedet for å forårsake alarm, har denne artikkelen som mål å informere IT-fagfolk, sikkerhetsanalytikere og organisasjoner om RESURGE, hvordan den fungerer og hva som kan gjøres for å redusere risikoen.

Hva er RESURGE Malware?

RESURGE er en multifunksjonell skadelig programvare som kan fungere som et rootkit, dropper, bakdør, bootkit, proxy og tunneler . Den er distribuert for å utnytte en kjent sikkerhetssårbarhet, identifisert som CVE-2025-0282 , som tidligere har påvirket Ivanti Connect Secure, Policy Secure og Neurons for ZTA Gateways.

Denne spesielle sårbarheten er en stabelbasert bufferoverløpsfeil som lar angripere kjøre ondsinnet kode eksternt. Hvis den ikke er oppdatert, kan den gi nettkriminelle et snikende og vedvarende fotfeste i kompromitterte nettverk.

CISAs analyse av RESURGE antyder at den deler likheter med SPAWNCHIMERA, en oppgradert variant av SPAWN-skadevareøkosystemet som tilskrives en Kina-basert spionasjegruppe (UNC5337). RESURGE går imidlertid lenger ved å inkorporere tilleggsfunksjoner, noe som gjør det til et mer effektivt verktøy for cyberinntrenging.

Hvordan fungerer RESURGE?

Når den er distribuert på en sårbar Ivanti-enhet, utfører RESURGE en rekke sofistikerte funksjoner:

1. Utholdenhet og systemmanipulasjon
   • Den kan overleve omstart av systemet, og sikrer at tilstedeværelsen forblir selv etter at enheten er startet på nytt.
   • Den endrer systemintegritetskontroller og endrer nøkkelfiler for å unngå gjenkjenning.
2. Web Shell-implementering
   • Det muliggjør nettskalltilgang, som kan utnyttes for legitimasjonstyveri, uautorisert kontooppretting, tilbakestilling av passord og rettighetsopptrapping.
   • Angripere kan bruke denne tilgangen til å opprettholde kontroll over systemet og legge til rette for ytterligere inntrenging.
3. Manipulasjon på oppstartsnivå
   • RESURGE kan kopiere ondsinnede web-skall til den kjørende oppstartsdisken til Ivanti-enheten.
   • Den har også muligheten til å manipulere det kjørende kjernestartbildet, som gir dyp kontroll på systemnivå.

Hvorfor er RESURGE en bekymring?

Tilstedeværelsen av RESURGE i kompromitterte systemer utgjør alvorlige sikkerhetsimplikasjoner :

• Datainnbrudd og spionasje: Angripere kan bruke skadelig programvare til å stjele sensitiv legitimasjon, manipulere tilgangskontroller og samle etterretning.
• Nettverkskompromiss: Skadevarens proxy- og tunneleringsfunksjoner lar den lage bakdørsforbindelser, slik at eksterne trusler får tilgang til interne nettverk ubemerket.
• Malware Evolution: Det faktum at RESURGE bygger på tidligere malware-stammer antyder at operatørene kontinuerlig finpusser taktikken, noe som gjør det sannsynlig at fremtidige varianter vil være enda mer spenstige og vanskeligere å oppdage.

Spesielt har Microsoft også knyttet CVE-2025-0282-sårbarheten til en annen Kina-assosiert trusselgruppe, Silk Typhoon (tidligere Hafnium). Dette indikerer at flere cyberspionasjegrupper aktivt utnytter Ivanti-sårbarheter for forskjellige angrepskampanjer.

Hvordan kan organisasjoner beskytte seg selv?

Siden RESURGE utnytter en kjent sikkerhetsfeil, er patching fortsatt den mest kritiske forsvarsstrategien. Ivanti har gitt ut oppdateringer for å fikse sårbarheten, og organisasjoner oppfordres til å bruke disse oppdateringene umiddelbart.

Utover oppdatering, bør sikkerhetsteam ta ytterligere forholdsregler for å minimere risikoen for kompromittering:

• Tilbakestill og roter legitimasjon:
  • Endre passord for alle domenebrukere og lokale kontoer som kan ha blitt berørt.
  • Tilbakestill legitimasjon for privilegerte og ikke-privilegerte kontoer for å forhindre uautorisert tilgang.
• Gjennomgå og juster tilgangspolicyer:
  • Oppheve administratorrettigheter midlertidig på berørte enheter.
  • Implementer multifaktorautentisering (MFA) der det er mulig for å legge til et ekstra lag med sikkerhet.
• Overvåk for uregelmessigheter:
  • Gå aktivt gjennom nettverks- og systemlogger for uvanlig aktivitet, spesielt uautoriserte tilgangsforsøk.
  • Implementer løsninger for endepunktdeteksjon og -respons (EDR) for å oppdage og nøytralisere potensiell skadelig programvare.
• Gjennomføre sikkerhetsrevisjon:
  • Kontroller regelmessig brannmurregler, systemintegritet og tilgangslogger for å sikre at ingen uautoriserte endringer er gjort.
  • Implementer streng segmentering mellom kritiske systemer og eksponerte tjenester for å begrense virkningen av et brudd.

Bunnlinjen

Oppdagelsen av RESURGE skadelig programvare fremhever den stadig utviklende naturen til cybertrusler, spesielt de som er knyttet til statsstøttede spionasjekampanjer. Selv om denne skadevare er svært sofistikert, kan organisasjoner redusere risikoen ved å være årvåken, bruke oppdateringer og håndheve sterke sikkerhetspolicyer.

Ved å ta en proaktiv holdning til cybersikkerhet, kan bedrifter og offentlige enheter sikre at deres Ivanti-enheter – og bredere IT-infrastruktur – forblir beskyttet mot nye trusler. RESURGE er en påminnelse om at cybersikkerhet ikke er en engangsinnsats, men en pågående prosess med tilpasning og forsvar.