概要
セキュリティ企業Volexityの調査により、Ivanti Connect Secure(ICS)のVPNゲートウェイを狙った高度な攻撃キャンペーンが明らかになった。攻撃者グループ「UTA0576」は3件のゼロデイ脆弱性を連鎖的に悪用し、完全にパッチ済みのICS機器(バージョン22.8R2.4、Build 19097)上でも未認証のままroot権限でのコード実行を達成していた。攻撃は10月3日に開始され、Volexityは10月5日に検出。10月13日にIvantiから正式な注意喚起と一部パッチが公開された。影響を受けるバージョンはICS 22.8R2.4以前、25.1.2.2以前、25.1.1.1以前で、Shadowserverの調査によれば世界で約5,500台のICS機器がインターネットに露出しているという。
技術的な詳細:3段階の攻撃チェーン
攻撃は3つの脆弱性を組み合わせて成立する。まず認証バイパスの段階では、フロントエンドとバックエンドのプロセス間通信に使われるCGIスクリプトハンドラへのリクエストを、X-DSCGI-PATHヘッダーの操作によって偽装し、welcome.cgiの認証制御を回避する。次に、認証バイパスとあわせてCVE-2026-104935として追跡されるリモートコード実行の脆弱性は、wu.cgiにおける競合状態(レースコンディション)を利用する。アップロードされたファイルが検証削除されるまでの短い時間差を突き、検証前にスクリプトを実行させることでcgi-serverユーザー権限でのコード実行を獲得する。最後の権限昇格の段階では、dsinvokedサービスがDSCacheの設定を無条件に信頼する挙動を悪用し、既存のメンテナンスタスクを再構成することでroot権限でのコマンド実行に至る。この3件のうち、認証バイパスとRCEの2件については10月13日時点でIvantiがパッチ(バージョン22.8R2.5、25.1.3.0、25.1.3.1)を公開済みだが、権限昇格に使われる脆弱性への修正は報道時点で未公開のままだった。
侵入後の挙動と痕跡の隠滅
侵入後、UTA0576は資格情報の窃取に重点を置いた活動を展開した。自作のPythonベースのLDAPツールを用いてドメイン資格情報、LAPSパスワード、BitLocker回復キーを収集し、LDAPトラフィックのパケットキャプチャから平文の認証情報を抽出した。さらにActive Directoryに対してuserPasswordやunixUserPassword属性を含む機密情報を照会し、パスワードスプレー攻撃を実行していたことが確認されている。使用したツールにはKerberoast機能も含まれていたが、観測された活動では実際には使用されなかった。特筆すべきは、攻撃者がバックドアやウェブシェルを一切残さず、コマンドを実行するたびに全攻撃チェーンを再実行する手口を取っていた点だ。実行後はデバッグログや監査ログから該当エントリを選択的に削除し、メモリ上のDSCacheエントリを攻撃前の正規スクリプトに復元するなど、ディスクに変更を残さない高度なアンチフォレンジック技術を用いていた。インフラとしてはEvoxt社のVPSを使い、9月30日から10月7日にかけてOpenVPN経由でアクセスしていたことも判明している。帰属については、標的の傾向から「スパイ活動ではなく犯罪目的である可能性が高い」との低確信度の評価がなされている。
検出方法と今後の対応
Volexityは、/dana-na/auth/url_default/welcome.cgiへの大量リクエストや、URLパスとX-DSCGI-PATHヘッダー値の不一致、/tmp/ディレクトリ内の攻撃後ファイルの存在などを侵害の指標として挙げている。重要なのは、この攻撃がメモリ上でのみ行われるためIvanti純正のIntegrity Checker Toolでは検出できない点で、確実な侵害確認にはネットワーク分析とメモリフォレンジックが必要になるとされる。Ivantiは「限定的な実悪用を認識している」とコメントし、顧客に対して修正版への即時アップグレードとIntegrity Checker Toolの定期実行を強く推奨している。一方で権限昇格に使われる第3の脆弱性は未修正のままであり、パッチ適用後も侵害の有無を個別に調査する必要がある点が、今後の対応における最大の課題となっている。