Gli appliance perimetrali e di accesso remoto sono obiettivi di valore perché una compromissione riuscita può fornire accesso prima che il traffico raggiunga i controlli di sicurezza interni. La fonte definisce ricerche specifiche per campagna sullo sfruttamento di Ivanti Connect Secure.
La copertura include CVE-2025-0282 e CVE-2025-22457.
Indicatori di ricognizione e anti-forensi
La prima query cerca nei log nomi di file di avvio e comandi noti associati alla riduzione della visibilità o alla modifica dello stato dell'apparato:
full_log:("hc_launcher.22.7.2.2615.jar" or "hc_launcher.22.7.2.3191.jar" or "hc_launcher.22.7.2.3221.jar" or "hc_launcher.22.7.2.3431.jar" or "setenforce 0" or "dport 514 -j DROP" or "dport 6514 -j DROP" or "mount -o remount,rw /" or "sed -i" or "dmesg -C")La fonte ha registrato zero corrispondenze nei 30 giorni precedenti.
Percorsi di file noti
Una seconda query cerca percorsi di file associati a campagne osservate:
(rule.groups:syscheck and syscheck.path:(/tmp/s or /tmp/svb or /tmp/.t or /tmp/.i or /tmp/.r or /tmp/.liblogblock.so or /home/webserver/htdocs/dana-na/jam/getComponent.cgi or /home/webserver/htdocs/dana-na/auth/restAuth.cgi or /root/home/lib/libsshd.so or /root/home/lib/libsocks5.so or /root/lib/libupgrade.so or /lib/libdsupgrade.so or /bin/dsmain)) or full_log:("/tmp/.liblogblock.so" or "/home/webserver/htdocs/dana-na/jam/getComponent.cgi" or "/home/webserver/htdocs/dana-na/auth/restAuth.cgi" or "/root/home/lib/libsshd.so" or "/root/home/lib/libsocks5.so" or "/root/lib/libupgrade.so" or "/lib/libdsupgrade.so")Anche in questo caso la fonte ha registrato zero corrispondenze.
Valori MD5 noti
La terza ricerca cerca un insieme di valori MD5 pubblicati:
syscheck.md5_after:(e7d24813535f74187db31d4114f607a1 or a638fd203ddb540d0484d8e00490df06 or 4628a501088c31f53b5c9ddf6788e835 or e5192258c27e712c7acf80303e68980b or 6e01ef1367ea81994578526b3bd331d6 or ce2b6a554ae46b5eb7d79ca5e7f440da or 10659b392e7f5b30b375b94cae4fdca0)
Ancora una volta la fonte ha registrato zero corrispondenze.
Perché più tipi di indicatori sono importanti
Il threat hunting specifico per campagna trae vantaggio dall'uso di più tipi di evidenze. Un nome di file può cambiare. Un hash può corrispondere a un solo campione. Il comportamento anti-forense può comparire anche in assenza di un impianto noto.
Combinare log, percorsi di file e hash offre una copertura maggiore rispetto all'affidarsi a un singolo indicatore.
Flusso di indagine
Qualsiasi corrispondenza va trattata come una pista forte e correlata con:
accessi amministrativi all'appliance;
modifiche di configurazione;
eventi di integrità dei file;
interruzioni della registrazione degli eventi;
traffico in uscita insolito;
attività di autenticazione vicine nel tempo.
Valore operativo
La fonte non ha individuato corrispondenze specifiche di Ivanti nel periodo di 30 giorni. Ciò è utile perché stabilisce una baseline pulita.
Queste ricerche possono restare attive come rilevamenti mirati di campagna, mentre il comportamento più ampio degli apparati è coperto da analisi generiche dei dispositivi perimetrali.
