Perimeter- und Fernzugriffsgeräte sind wertvolle Ziele, da eine erfolgreiche Kompromittierung Zugang verschaffen kann, bevor der Datenverkehr interne Sicherheitskontrollen erreicht. Die Quelle definiert kampagnenspezifische Suchen nach der Ausnutzung von Ivanti Connect Secure.

Die Abdeckung umfasst CVE-2025-0282 und CVE-2025-22457.

Indikatoren für Erkundung und Anti-Forensik

Die erste Abfrage durchsucht Protokolle nach bekannten Dateinamen von Startprogrammen und Befehlen, die mit der Verringerung der Sichtbarkeit oder der Änderung des Gerätezustands in Verbindung stehen:

full_log:("hc_launcher.22.7.2.2615.jar" or "hc_launcher.22.7.2.3191.jar" or "hc_launcher.22.7.2.3221.jar" or "hc_launcher.22.7.2.3431.jar" or "setenforce 0" or "dport 514 -j DROP" or "dport 6514 -j DROP" or "mount -o remount,rw /" or "sed -i" or "dmesg -C")

Die Quelle verzeichnete in den vorangegangenen 30 Tagen null Treffer.

Bekannte Dateipfade

Eine zweite Abfrage sucht nach Dateipfaden, die mit beobachteten Kampagnen in Verbindung stehen:

(rule.groups:syscheck and syscheck.path:(/tmp/s or /tmp/svb or /tmp/.t or /tmp/.i or /tmp/.r or /tmp/.liblogblock.so or /home/webserver/htdocs/dana-na/jam/getComponent.cgi or /home/webserver/htdocs/dana-na/auth/restAuth.cgi or /root/home/lib/libsshd.so or /root/home/lib/libsocks5.so or /root/lib/libupgrade.so or /lib/libdsupgrade.so or /bin/dsmain)) or full_log:("/tmp/.liblogblock.so" or "/home/webserver/htdocs/dana-na/jam/getComponent.cgi" or "/home/webserver/htdocs/dana-na/auth/restAuth.cgi" or "/root/home/lib/libsshd.so" or "/root/home/lib/libsocks5.so" or "/root/lib/libupgrade.so" or "/lib/libdsupgrade.so")

Die Quelle verzeichnete ebenfalls null Treffer.

Bekannte MD5-Werte

Die dritte Suche sucht nach einer Reihe veröffentlichter MD5-Werte:

syscheck.md5_after:(e7d24813535f74187db31d4114f607a1 or a638fd203ddb540d0484d8e00490df06 or 4628a501088c31f53b5c9ddf6788e835 or e5192258c27e712c7acf80303e68980b or 6e01ef1367ea81994578526b3bd331d6 or ce2b6a554ae46b5eb7d79ca5e7f440da or 10659b392e7f5b30b375b94cae4fdca0)

Auch hier verzeichnete die Quelle null Treffer.

Warum mehrere Indikatortypen wichtig sind

Kampagnenspezifisches Threat Hunting profitiert von der Nutzung mehrerer Arten von Belegen. Ein Dateiname kann sich ändern. Ein Hashwert passt möglicherweise nur zu einer Probe. Anti-Forensik-Verhalten kann auch dann auftreten, wenn kein bekanntes Implantat vorhanden ist.

Die Kombination aus Protokollen, Dateipfaden und Hashwerten bietet mehr Abdeckung, als sich auf einen einzelnen Indikator zu verlassen.

Untersuchungsablauf

Jeder Treffer sollte als starker Anhaltspunkt behandelt und korreliert werden mit:

• administrative Anmeldungen am Gerät;

• Konfigurationsänderungen;

• Dateiintegritätsereignisse;

• Unterbrechungen der Protokollierung;

• ungewöhnlicher ausgehender Datenverkehr;

• zeitnahe Authentifizierungsaktivität.

Betrieblicher Nutzen

Die Quelle hat im 30-Tage-Zeitraum keine Ivanti-spezifischen Treffer identifiziert. Das ist nützlich, da es eine saubere Basislinie schafft.

Diese Suchen können als gezielte Kampagnen-Erkennungen aktiv bleiben, während das allgemeinere Geräteverhalten durch generische Analysen für Geräte am Netzwerkrand abgedeckt wird.