Los dispositivos perimetrales y de acceso remoto son objetivos valiosos porque un compromiso exitoso puede proporcionar acceso antes de que el tráfico llegue a los controles de seguridad internos. La fuente define búsquedas específicas de campaña para la explotación de Ivanti Connect Secure.
La cobertura incluye CVE-2025-0282 y CVE-2025-22457.
Indicadores de reconocimiento y antiforense
La primera consulta busca en los registros nombres de archivo del lanzador y comandos conocidos asociados con la reducción de la visibilidad o el cambio del estado del dispositivo:
full_log:("hc_launcher.22.7.2.2615.jar" or "hc_launcher.22.7.2.3191.jar" or "hc_launcher.22.7.2.3221.jar" or "hc_launcher.22.7.2.3431.jar" or "setenforce 0" or "dport 514 -j DROP" or "dport 6514 -j DROP" or "mount -o remount,rw /" or "sed -i" or "dmesg -C")La fuente registró cero coincidencias durante los 30 días anteriores.
Rutas de archivo conocidas
Una segunda consulta busca rutas de archivo asociadas con campañas observadas:
(rule.groups:syscheck and syscheck.path:(/tmp/s or /tmp/svb or /tmp/.t or /tmp/.i or /tmp/.r or /tmp/.liblogblock.so or /home/webserver/htdocs/dana-na/jam/getComponent.cgi or /home/webserver/htdocs/dana-na/auth/restAuth.cgi or /root/home/lib/libsshd.so or /root/home/lib/libsocks5.so or /root/lib/libupgrade.so or /lib/libdsupgrade.so or /bin/dsmain)) or full_log:("/tmp/.liblogblock.so" or "/home/webserver/htdocs/dana-na/jam/getComponent.cgi" or "/home/webserver/htdocs/dana-na/auth/restAuth.cgi" or "/root/home/lib/libsshd.so" or "/root/home/lib/libsocks5.so" or "/root/lib/libupgrade.so" or "/lib/libdsupgrade.so")La fuente también registró cero coincidencias.
Valores MD5 conocidos
La tercera búsqueda busca un conjunto de valores MD5 publicados:
syscheck.md5_after:(e7d24813535f74187db31d4114f607a1 or a638fd203ddb540d0484d8e00490df06 or 4628a501088c31f53b5c9ddf6788e835 or e5192258c27e712c7acf80303e68980b or 6e01ef1367ea81994578526b3bd331d6 or ce2b6a554ae46b5eb7d79ca5e7f440da or 10659b392e7f5b30b375b94cae4fdca0)
De nuevo, la fuente registró cero coincidencias.
Por qué importan varios tipos de indicadores
La búsqueda de amenazas específica de una campaña se beneficia del uso de varios tipos de evidencia. Un nombre de archivo puede cambiar. Un hash puede coincidir solo con una muestra. El comportamiento antiforense puede aparecer incluso cuando no hay un implante conocido.
Combinar registros, rutas de archivo y hashes ofrece más cobertura que depender de un solo indicador.
Flujo de investigación
Cualquier coincidencia debe tratarse como una pista sólida y correlacionarse con:
inicios de sesión administrativos en el dispositivo;
cambios de configuración;
eventos de integridad de archivos;
interrupciones del registro;
tráfico saliente inusual;
actividad de autenticación cercana en el tiempo.
Valor operativo
La fuente no identificó coincidencias específicas de Ivanti en el período de 30 días. Esto es útil porque establece una línea base limpia.
Estas búsquedas pueden permanecer activas como detecciones específicas de campaña, mientras que el comportamiento más amplio de los appliances queda cubierto por analíticas genéricas de dispositivos perimetrales.
