Les équipements de périmètre et d'accès distant sont des cibles de choix, car une compromission réussie peut donner accès avant que le trafic n'atteigne les contrôles de sécurité internes. La source définit des recherches spécifiques aux campagnes pour l'exploitation d'Ivanti Connect Secure.
La couverture inclut CVE-2025-0282 et CVE-2025-22457.
Indicateurs de reconnaissance et d'anti-forensique
La première requête recherche dans les journaux des noms de fichiers de lanceur et des commandes connus associés à la réduction de la visibilité ou à la modification de l'état de l'appliance :
full_log:("hc_launcher.22.7.2.2615.jar" or "hc_launcher.22.7.2.3191.jar" or "hc_launcher.22.7.2.3221.jar" or "hc_launcher.22.7.2.3431.jar" or "setenforce 0" or "dport 514 -j DROP" or "dport 6514 -j DROP" or "mount -o remount,rw /" or "sed -i" or "dmesg -C")La source a enregistré zéro correspondance au cours des 30 derniers jours.
Chemins de fichiers connus
Une deuxième requête recherche des chemins de fichiers associés aux campagnes observées :
(rule.groups:syscheck and syscheck.path:(/tmp/s or /tmp/svb or /tmp/.t or /tmp/.i or /tmp/.r or /tmp/.liblogblock.so or /home/webserver/htdocs/dana-na/jam/getComponent.cgi or /home/webserver/htdocs/dana-na/auth/restAuth.cgi or /root/home/lib/libsshd.so or /root/home/lib/libsocks5.so or /root/lib/libupgrade.so or /lib/libdsupgrade.so or /bin/dsmain)) or full_log:("/tmp/.liblogblock.so" or "/home/webserver/htdocs/dana-na/jam/getComponent.cgi" or "/home/webserver/htdocs/dana-na/auth/restAuth.cgi" or "/root/home/lib/libsshd.so" or "/root/home/lib/libsocks5.so" or "/root/lib/libupgrade.so" or "/lib/libdsupgrade.so")La source a également enregistré zéro correspondance.
Valeurs MD5 connues
La troisième recherche porte sur un ensemble de valeurs MD5 publiées :
syscheck.md5_after:(e7d24813535f74187db31d4114f607a1 or a638fd203ddb540d0484d8e00490df06 or 4628a501088c31f53b5c9ddf6788e835 or e5192258c27e712c7acf80303e68980b or 6e01ef1367ea81994578526b3bd331d6 or ce2b6a554ae46b5eb7d79ca5e7f440da or 10659b392e7f5b30b375b94cae4fdca0)
De nouveau, la source a enregistré zéro correspondance.
Pourquoi les différents types d'indicateurs sont importants
La chasse spécifique à une campagne gagne à utiliser plusieurs types de preuves. Un nom de fichier peut changer. Un hash peut ne correspondre qu'à un seul échantillon. Un comportement d'anti-forensique peut apparaître même en l'absence d'un implant connu.
Combiner journaux, chemins de fichiers et hashes offre une meilleure couverture que de s'appuyer sur un seul indicateur.
Processus d'investigation
Toute correspondance doit être traitée comme une piste sérieuse et corrélée avec :
connexions administratives à l'appliance ;
modifications de configuration ;
événements d'intégrité des fichiers ;
interruptions de la journalisation ;
trafic sortant inhabituel ;
activité d'authentification à proximité dans le temps.
Valeur opérationnelle
La source n'a identifié aucune correspondance propre à Ivanti sur la période de 30 jours. C'est utile, car cela établit une base de référence saine.
Ces recherches peuvent rester actives comme détections ciblées de campagne, tandis que le comportement plus général des appliances est couvert par des analyses génériques des équipements périphériques.
