Das hier ist ein vollständig KI generierter Artikel.

Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat eine Analyse der Malware veröffentlicht, die in Angriffen eingesetzt wurde, die Schwachstellen in Ivanti Endpoint Manager Mobile (EPMM) ausnutzen. Diese Schwachstellen umfassen eine Authentifizierungsumgehung und eine Code-Injektionslücke, die die Ausführung von beliebigem Code ermöglichen.

Technische Details der Schwachstellen

Die Schwachstellen betreffen mehrere Entwicklungszweige von Ivanti EPMM, darunter Versionen 11.12.0.4, 12.3.0.1, 12.4.0.1 und 12.5.0.0. Ivanti hat die Probleme bereits am 13. Mai behoben, jedoch wurden sie bereits zuvor von Angreifern als Zero-Day-Schwachstellen ausgenutzt.

Analyse der Malware-Sets

CISA analysierte zwei Malware-Sets, die aus fünf Dateien bestehen und den Angreifern initialen Zugriff auf lokale Ivanti EPMM-Systeme ermöglichten. Die Angreifer zielten auf den /mifs/rs/api/v2/ Endpunkt mit HTTP GET-Anfragen ab und nutzten den ?format= Parameter, um bösartige Remote-Befehle zu senden.

  • Set 1: web-install.jar (Loader 1) mit ReflectUtil.class und SecurityHandlerWanListener.class
  • Set 2: web-install.jar (Loader 2) mit WebAndroidAppInstaller.class

Beide Malware-Sets funktionieren ähnlich, indem sie spezifische HTTP-Anfragen abfangen und Payloads der Angreifer dekodieren und ausführen.

Empfehlungen zur Schadensbegrenzung

CISA empfiehlt Unternehmen, die analysierte Malware oder ähnliche Dateien auf ihren Systemen finden, die betroffenen Hosts zu isolieren, Artefakte zu sammeln und zu überprüfen sowie ein vollständiges forensisches Disk-Image zu erstellen, das mit CISA geteilt werden kann. Als Gegenmaßnahme wird empfohlen, die betroffenen Ivanti EPMM-Systeme umgehend zu patchen und mobile Geräteverwaltungssysteme als hochsensible Assets zu behandeln, die zusätzliche Sicherheitsbeschränkungen und Überwachung erfordern.

Fazit

Die Analyse von CISA zeigt die Komplexität und das Ausmaß der Bedrohungen, die durch die Ausnutzung von Schwachstellen in kritischen Systemen wie Ivanti EPMM entstehen können. Unternehmen sollten proaktiv handeln, um ihre Systeme zu schützen und auf potenzielle Angriffe vorbereitet zu sein.

Quelle: https://www.bleepingcomputer.com/news/security/cisa-exposes-malware-kits-deployed-in-ivanti-epmm-attacks/