Echipamentele de perimetru și de acces la distanță sunt ținte valoroase deoarece o compromitere reușită poate oferi acces înainte ca traficul să ajungă la controalele de securitate interne. Sursa definește căutări specifice campaniei pentru exploatarea Ivanti Connect Secure.

Acoperirea include CVE-2025-0282 și CVE-2025-22457.

Indicatori de recunoaștere și anti-forensics

Prima interogare caută în jurnale nume de fișiere de lansare cunoscute și comenzi asociate cu reducerea vizibilității sau modificarea stării echipamentului:

full_log:("hc_launcher.22.7.2.2615.jar" or "hc_launcher.22.7.2.3191.jar" or "hc_launcher.22.7.2.3221.jar" or "hc_launcher.22.7.2.3431.jar" or "setenforce 0" or "dport 514 -j DROP" or "dport 6514 -j DROP" or "mount -o remount,rw /" or "sed -i" or "dmesg -C")

Sursa a înregistrat zero potriviri în ultimele 30 de zile.

Căi de fișiere cunoscute

O a doua interogare caută căi de fișiere asociate cu campaniile observate:

(rule.groups:syscheck and syscheck.path:(/tmp/s or /tmp/svb or /tmp/.t or /tmp/.i or /tmp/.r or /tmp/.liblogblock.so or /home/webserver/htdocs/dana-na/jam/getComponent.cgi or /home/webserver/htdocs/dana-na/auth/restAuth.cgi or /root/home/lib/libsshd.so or /root/home/lib/libsocks5.so or /root/lib/libupgrade.so or /lib/libdsupgrade.so or /bin/dsmain)) or full_log:("/tmp/.liblogblock.so" or "/home/webserver/htdocs/dana-na/jam/getComponent.cgi" or "/home/webserver/htdocs/dana-na/auth/restAuth.cgi" or "/root/home/lib/libsshd.so" or "/root/home/lib/libsocks5.so" or "/root/lib/libupgrade.so" or "/lib/libdsupgrade.so")

Sursa a înregistrat, de asemenea, zero potriviri.

Valori MD5 cunoscute

A treia căutare caută un set de valori MD5 publicate:

syscheck.md5_after:(e7d24813535f74187db31d4114f607a1 or a638fd203ddb540d0484d8e00490df06 or 4628a501088c31f53b5c9ddf6788e835 or e5192258c27e712c7acf80303e68980b or 6e01ef1367ea81994578526b3bd331d6 or ce2b6a554ae46b5eb7d79ca5e7f440da or 10659b392e7f5b30b375b94cae4fdca0)

Din nou, sursa a înregistrat zero potriviri.

De ce contează mai multe tipuri de indicatori

Căutarea specifică unei campanii beneficiază de utilizarea mai multor tipuri de dovezi. Un nume de fișier se poate schimba. Un hash poate corespunde doar unei singure mostre. Comportamentul anti-forensics poate apărea chiar și atunci când un implant cunoscut nu este prezent.

Combinarea jurnalelor, a căilor de fișiere și a hash-urilor oferă o acoperire mai bună decât bazarea pe un singur indicator.

Fluxul de investigație

Orice potrivire ar trebui tratată ca o pistă puternică și corelată cu:

• autentificări administrative pe echipament;

• modificări de configurație;

• evenimente de integritate a fișierelor;

• întreruperi ale jurnalizării;

• trafic către exterior neobișnuit;

• activitate de autentificare din apropiere.

Valoarea operațională

Sursa nu a identificat potriviri specifice Ivanti în perioada de 30 de zile. Acest lucru este util deoarece stabilește un profil de referință curat.

Aceste căutări pot rămâne active ca detecții focalizate pe campanie, în timp ce comportamentul mai larg al echipamentelor este acoperit de analize generice pentru dispozitivele de margine.