Perimeterapparaten en apparaten voor toegang op afstand zijn waardevolle doelwitten, omdat een succesvolle compromittering toegang kan bieden voordat het verkeer interne beveiligingscontroles bereikt. De bron definieert campagnespecifieke zoekacties naar misbruik van Ivanti Connect Secure.
De dekking omvat CVE-2025-0282 en CVE-2025-22457.
Indicatoren voor verkenning en anti-forensische technieken
De eerste zoekopdracht doorzoekt logs op bekende bestandsnamen van startprogramma's en opdrachten die verband houden met het verminderen van zichtbaarheid of het wijzigen van de status van het apparaat:
full_log:("hc_launcher.22.7.2.2615.jar" or "hc_launcher.22.7.2.3191.jar" or "hc_launcher.22.7.2.3221.jar" or "hc_launcher.22.7.2.3431.jar" or "setenforce 0" or "dport 514 -j DROP" or "dport 6514 -j DROP" or "mount -o remount,rw /" or "sed -i" or "dmesg -C")De bron registreerde nul overeenkomsten in de afgelopen 30 dagen.
Bekende bestandspaden
Een tweede zoekopdracht zoekt naar bestandspaden die verband houden met waargenomen campagnes:
(rule.groups:syscheck and syscheck.path:(/tmp/s or /tmp/svb or /tmp/.t or /tmp/.i or /tmp/.r or /tmp/.liblogblock.so or /home/webserver/htdocs/dana-na/jam/getComponent.cgi or /home/webserver/htdocs/dana-na/auth/restAuth.cgi or /root/home/lib/libsshd.so or /root/home/lib/libsocks5.so or /root/lib/libupgrade.so or /lib/libdsupgrade.so or /bin/dsmain)) or full_log:("/tmp/.liblogblock.so" or "/home/webserver/htdocs/dana-na/jam/getComponent.cgi" or "/home/webserver/htdocs/dana-na/auth/restAuth.cgi" or "/root/home/lib/libsshd.so" or "/root/home/lib/libsocks5.so" or "/root/lib/libupgrade.so" or "/lib/libdsupgrade.so")De bron registreerde ook nul overeenkomsten.
Bekende MD5-waarden
De derde zoekactie zoekt naar een reeks gepubliceerde MD5-waarden:
syscheck.md5_after:(e7d24813535f74187db31d4114f607a1 or a638fd203ddb540d0484d8e00490df06 or 4628a501088c31f53b5c9ddf6788e835 or e5192258c27e712c7acf80303e68980b or 6e01ef1367ea81994578526b3bd331d6 or ce2b6a554ae46b5eb7d79ca5e7f440da or 10659b392e7f5b30b375b94cae4fdca0)
Ook nu registreerde de bron nul overeenkomsten.
Waarom meerdere soorten indicatoren belangrijk zijn
Campagnespecifieke threat hunting profiteert van het gebruik van meerdere soorten bewijs. Een bestandsnaam kan veranderen. Een hash komt mogelijk slechts met één exemplaar overeen. Anti-forensisch gedrag kan voorkomen, zelfs als er geen bekend implantaat aanwezig is.
Het combineren van logs, bestandspaden en hashes biedt meer dekking dan het vertrouwen op één enkele indicator.
Onderzoeksworkflow
Elke treffer moet worden behandeld als een sterke aanwijzing en worden gecorreleerd met:
beheerdersaanmeldingen op het apparaat;
configuratiewijzigingen;
bestandsintegriteitsgebeurtenissen;
onderbrekingen in logregistratie;
ongebruikelijk uitgaand verkeer;
authenticatieactiviteit in de nabije tijd.
Operationele waarde
De bron heeft in de periode van 30 dagen geen Ivanti-specifieke treffers geïdentificeerd. Dat is nuttig, omdat het een schone referentiebasis vaststelt.
Deze zoekacties kunnen actief blijven als gerichte campagnedetecties, terwijl breder apparaatgedrag valt onder generieke analyses voor netwerkrandapparaten.
