RESURGE Malware: een cyberdreiging gericht op Ivanti-apparaten

RESURGE -malware ontpopt zich als een geavanceerde cybersecurity-bedreiging, die specifiek gericht is op kwetsbaarheden in Ivanti Connect Secure (ICS) -apparaten. Volgens de Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) bouwt RESURGE voort op een eerder geïdentificeerde malwarevariant die bekendstaat als SPAWNCHIMERA , maar met opmerkelijke verbeteringen die het hardnekkiger en gevaarlijker maken.

Dit artikel is niet bedoeld om paniek te zaaien, maar om IT-professionals, beveiligingsanalisten en organisaties te informeren over RESURGE, hoe het werkt en wat er gedaan kan worden om de risico's te beperken.

Wat is RESURGE-malware?

RESURGE is een multifunctionele malware die kan functioneren als rootkit, dropper, backdoor, bootkit, proxy en tunneler . Het wordt ingezet om een bekende beveiligingskwetsbaarheid te exploiteren , geïdentificeerd als CVE-2025-0282 , die eerder Ivanti Connect Secure, Policy Secure en Neurons voor ZTA Gateways trof.

Deze specifieke kwetsbaarheid is een stack-based buffer overflow-fout waarmee aanvallers kwaadaardige code op afstand kunnen uitvoeren. Als het niet wordt gepatcht, kan het cybercriminelen een heimelijke en aanhoudende voet aan de grond geven in gecompromitteerde netwerken.

CISA's analyse van RESURGE suggereert dat het overeenkomsten vertoont met SPAWNCHIMERA, een verbeterde variant van het SPAWN-malware-ecosysteem dat wordt toegeschreven aan een in China gevestigde spionagegroep (UNC5337). RESURGE gaat echter verder door extra mogelijkheden te integreren, waardoor het een effectiever hulpmiddel is voor cyberinbraken.

Hoe werkt RESURGE?

Zodra RESURGE op een kwetsbaar Ivanti-apparaat is geïmplementeerd, voert het een reeks geavanceerde functies uit:

1. Persistentie en systeemmanipulatie
   • Het overleeft het opnieuw opstarten van het systeem, zodat het ook aanwezig blijft nadat het apparaat opnieuw is opgestart.
   • Het wijzigt de integriteitscontroles van het systeem en verandert belangrijke bestanden om detectie te omzeilen.
2. Web Shell-implementatie
   • Het maakt webshell-toegang mogelijk, wat kan worden misbruikt voor diefstal van inloggegevens, het ongeautoriseerd aanmaken van accounts, het opnieuw instellen van wachtwoorden en het verhogen van bevoegdheden.
   • Aanvallers kunnen deze toegang gebruiken om de controle over het systeem te behouden en verdere indringers mogelijk te maken.
3. Manipulatie op bootniveau
   • RESURGE kan schadelijke webshells kopiëren naar de actieve opstartschijf van het Ivanti-apparaat.
   • Het heeft ook de mogelijkheid om de actieve coreboot-image te manipuleren, wat diepgaande controle op systeemniveau biedt.

Waarom is RESURGE een zorg?

De aanwezigheid van RESURGE in gecompromitteerde systemen brengt ernstige beveiligingsrisico 's met zich mee:

• Gegevensinbreuk en spionage: aanvallers kunnen de malware gebruiken om gevoelige inloggegevens te stelen, toegangscontroles te manipuleren en informatie te verzamelen.
• Netwerkcompromittering: De proxy- en tunnelingmogelijkheden van de malware maken het mogelijk om backdoor-verbindingen te creëren, waardoor externe bedreigingen ongemerkt toegang kunnen krijgen tot interne netwerken.
• Evolutie van malware: Het feit dat RESURGE voortbouwt op eerdere malwarevarianten, suggereert dat de beheerders hun tactieken voortdurend verfijnen. Hierdoor is het waarschijnlijk dat toekomstige varianten nog veerkrachtiger en moeilijker te detecteren zullen zijn.

Opvallend is dat Microsoft de CVE-2025-0282-kwetsbaarheid ook heeft gekoppeld aan een andere met China geassocieerde dreigingsgroep, Silk Typhoon (voorheen Hafnium). Dit geeft aan dat meerdere cyberespionagegroepen actief misbruik maken van Ivanti-kwetsbaarheden voor verschillende aanvalscampagnes.

Hoe kunnen organisaties zichzelf beschermen?

Omdat RESURGE een bekend beveiligingslek exploiteert, blijft patchen de meest kritieke verdedigingsstrategie. Ivanti heeft updates uitgebracht om de kwetsbaarheid te verhelpen en organisaties worden dringend verzocht deze patches onmiddellijk toe te passen.

Naast het patchen moeten beveiligingsteams aanvullende voorzorgsmaatregelen nemen om het risico op inbreuken te minimaliseren:

• Inloggegevens opnieuw instellen en roteren:
  • Wijzig de wachtwoorden van alle domeingebruikers en lokale accounts die mogelijk zijn getroffen.
  • Stel de inloggegevens voor bevoorrechte en niet-bevoorrechte accounts opnieuw in om ongeautoriseerde toegang te voorkomen.
• Toegangsbeleid bekijken en aanpassen:
  • Trek tijdelijk beheerdersrechten in op de getroffen apparaten.
  • Implementeer waar mogelijk multi-factor authenticatie (MFA) om een extra beveiligingslaag toe te voegen.
• Monitoren op anomalieën:
  • Controleer actief de netwerk- en systeemlogboeken op ongebruikelijke activiteiten, met name ongeautoriseerde toegangspogingen.
  • Implementeer EDR-oplossingen (Endpoint Detection and Response) om mogelijk malwaregedrag te detecteren en neutraliseren.
• Voer beveiligingsaudits uit:
  • Controleer regelmatig de firewallregels, de systeemintegriteit en toegangslogboeken om er zeker van te zijn dat er geen ongeautoriseerde wijzigingen zijn aangebracht.
  • Pas strikte segmentatie toe tussen kritieke systemen en blootgestelde services om de impact van een inbreuk te beperken.

Conclusie

De ontdekking van RESURGE-malware benadrukt de voortdurend veranderende aard van cyberdreigingen, met name die welke verband houden met door de staat gesponsorde spionagecampagnes. Hoewel deze malware zeer geavanceerd is, kunnen organisaties de risico's ervan beperken door waakzaam te blijven, patches toe te passen en sterke beveiligingsbeleidsregels af te dwingen.

Door een proactieve houding aan te nemen ten aanzien van cybersecurity, kunnen bedrijven en overheidsinstanties ervoor zorgen dat hun Ivanti-apparaten en bredere IT-infrastructuur beschermd blijven tegen opkomende bedreigingen. RESURGE herinnert ons eraan dat cybersecurity geen eenmalige inspanning is, maar een doorlopend proces van aanpassing en verdediging.