随着“KrustyLoader”攻击的增加，Ivanti 零日补丁被推迟

攻击者利用 Ivanti VPN 中的两个关键零日漏洞来部署一组基于 Rust 的后门，这些后门又会下载名为“KrustyLoader”的后门恶意软件。

这两个错误是 一月初披露 （CVE-2024-21887 和 CVE-2023-46805），分别允许未经身份验证的远程代码执行 (RCE) 和身份验证绕过，从而影响 Ivanti 的 Connect Secure VPN 设备。两者都还没有补丁。

虽然这两个零日漏洞已经在野外被积极利用，但中国国家资助的高级持续威胁 (APT) 攻击者（UNC5221，又名 UTA0178）在公开披露后迅速利用了这些漏洞， 全球大规模剥削尝试不断增加。 Volexity 对攻击的分析发现，12 个独立但几乎相同的 Rust 有效负载被下载到受感染的设备，这些设备反过来下载并执行 Sliver 红队工具的变体，Synacktiv 研究员 Théo Letailleur 将其命名为 KrustyLoader。

“银11 Letailleur 在昨天的分析中表示：“它是一种开源对手模拟工具，在威胁行为者中越来越受欢迎，因为它提供了实用的命令和控制框架。”该工具还提供了哈希值、Yara 规则和 用于检测和提取的脚本 妥协指标（IoC）。他指出，重新调整的 Sliver 植入物充当了一个隐秘且易于控制的后门。

“KrustyLoader——正如我所称的——执行特定的检查，以便仅在满足条件时运行，”他补充道，并指出它也被很好地混淆了。 “KrustyLoader 是用 Rust 开发的，这给全面了解其行为带来了额外的困难。”

同时，本 CVE-2024-21887 和 CVE-2023-46805 的补丁 Connect Secure VPN 出现延迟。 Ivanti 在 22 月 26 日向他们做出了承诺，引发了 CISA 警报，但他们未能兑现。在 XNUMX 月 XNUMX 日发布的最新 bug 公告中，该公司指出，“受支持版本的补丁的目标发布被推迟，这种延迟影响了所有后续计划的补丁发布……受支持版本的补丁仍将在一个交错的时间表。”

Ivanti 表示，目标是在本周进行修复，但指出“补丁发布的时间可能会发生变化，因为我们会优先考虑每个版本的安全性和质量。”

截至今天，距离漏洞披露已经过去了20天。

• SEO 支持的内容和 PR 分发。 今天得到放大。
• PlatoData.Network 垂直生成人工智能。 赋予自己力量。 访问这里。
• 柏拉图爱流。 Web3 智能。 知识放大。 访问这里。
• 柏拉图ESG。 碳， 清洁科技, 能源， 环境， 太阳能， 废物管理。 访问这里。
• 柏拉图健康。 生物技术和临床试验情报。 访问这里。
• Sumber: https://www.darkreading.com/endpoint-security/ivanti-zero-day-patches-delayed-krustyloader-attacks-mount