Mandiant vient de publier de nouveaux détails concernant une vulnérabilité zero-day (CVE-2025-0282) qu’Ivanti a divulguée et corrigée simultanément aujourd’hui, impactant ses appliances Ivanti Connect Secure VPN (« ICS »).
Tribune – Ivanti a identifié cette compromission sur la base d’indications provenant de l’outil Integrity Checker Tool (« ICT ») fourni par l’entreprise ainsi que d’autres outils commerciaux de surveillance de sécurité. Dans son analyse, Mandiant a observé que la CVE-2025-0282 a été exploité dans la nature par un acteur de l’espionnage soupçonné d’être lié à la Chine dès décembre 2024.
Bien que Mandiant ne puisse pas encore attribuer l’exploitation de la vulnérabilité CVE-2025-0282 à un acteur de la menace spécifique, les chercheurs ont analysé la même famille de malwares (SPAWN) qui avait été signalée en avril 2024 et associée à UNC5337. Mandiant évalue avec une confiance modérée qu’il s’agit du même groupe connu sous le nom d’UNC5221.
Mandiant souligne qu’ « il est possible que plusieurs acteurs soient responsables de la création et du déploiement » des différentes familles de malwares observées dans leurs enquêtes en cours (SPAWN, DRYHOOK et PHASEJAM). Cependant, les chercheurs ajoutent qu’« à la date de publication de ce rapport, nous ne disposons pas de suffisamment de données pour évaluer avec précision le nombre d’acteurs de la menace ciblant la CVE-2025-0282 ».
L’exploitation réussie de la CVE-2025-0282 permet aux attaquants :
-
Exécution de code à distance : Permet aux attaquants de prendre le contrôle des systèmes affectés.
-
Déplacement latéral : Une fois compromis, les attaquants se déplacent latéralement dans les réseaux pour étendre leur accès, ce qui peut avoir des impacts en aval au-delà de l’appareil.
-
Portes dérobées persistantes : Les attaquants installent des portes dérobées (“backdoor”) pour maintenir l’accès aux systèmes compromis. Certaines de ces portes peuvent persister malgré les mises à jour système, c’est pourquoi Ivanti recommande aux clients concernés d’effectuer une réinitialisation.
Deux tactiques intéressantes observées (à noter que Mandiant ne dispose pas encore de suffisamment de données pour déterminer quel acteur est à l’origine de cela) :
-
Après avoir exploité avec succès la vulnérabilité CVE-2025-0282, l’acteur de la menace déploie le logiciel malveillant personnalisé « PHASEJAM » pour établir une présence initiale sur le système et empêcher l’installation des mises à jour du système, ce qui favorise une tentative d’accès persistant à travers les mises à jour système.
=> Anticipant qu’un échec d’installation de mise à jour attirerait l’attention de l’administrateur, l’attaquant affiche une fausse barre de progression de mise à jour pour tromper l’administrateur, lui faisant croire que la mise à jour a été correctement installée, tout en bloquant discrètement le processus légitime.
-
Les récentes versions d’Ivanti Connect Secure incluent un outil d’intégrité intégré (ICT) qui s’est avéré efficace pour identifier les compromissions liées à cette vulnérabilité. Cet outil agit comme une alerte pour signaler aux utilisateurs qu’il y a un problème ou un comportement suspect. Il exécute régulièrement des diagnostics sur l’appliance, surveillant en permanence son fonctionnement pour détecter toute anomalie ou déviation par rapport à son état de fonctionnement habituel.
=> Dans certains cas, l’attaquant a essayé de modifier le registre des fichiers sains de l’ICT pour y inclure ses fichiers malveillants et contourner la détection.
