Badan Keamanan Cybersecurity dan Infrastruktur AS (CISA) telah menerbitkan analisis malware yang digunakan dalam serangan yang mengeksploitasi kerentanan yang mempengaruhi Ivanti Endpoint Manager Mobile (EPMM).
Kelemahannya adalah bypass otentikasi dalam komponen API EPMM (CVE-2025-4427) dan kerentanan injeksi kode (CVE-2025-4428) yang memungkinkan pelaksanaan kode sewenang-wenang.
Dua kerentanan mempengaruhi cabang pengembangan Ivanti EPMM berikut dan rilis mereka sebelumnya: 11.12.0.4, 12.3.0.1, 12.4.0.1, dan 12.5.0.0.
Ivanti membahas masalah pada 13 Mei, tetapi para aktor ancaman telah mengeksploitasi mereka sebagai nol hari dalam serangan terhadap “jumlah pelanggan yang sangat terbatas.”
Sekitar seminggu kemudian, ancaman platform intelijen eclecticiq Dilaporkan dengan Keyakinan Tinggi Bahwa kelompok spionase China-Nexus memanfaatkan dua kerentanan sejak setidaknya 15 Mei.
Para peneliti mengatakan bahwa aktor ancaman yang terkait dengan China sangat berpengetahuan tentang arsitektur internal Ivanti EPMM, yang mampu menggunakan kembali komponen sistem untuk mengeksfiltrasi data.
Laporan CISA, bagaimanapun, tidak membuat atribusi apa pun dan hanya berfokus pada detail teknis file berbahaya yang diperoleh dari organisasi yang diserang oleh aktor ancaman menggunakan rantai eksploitasi untuk CVE-2025-4427 dan CVE-2025-4428.
Pembagian pengiriman malware
Badan AS menganalisis dua set malware yang terdiri dari lima file yang digunakan peretas untuk mendapatkan akses awal ke sistem Ivanti EPMM di lokasi.
“Aktor ancaman dunia maya menargetkan /MIFS/RS/API/V2/ titik akhir dengan http mendapatkan permintaan dan menggunakan ? format = Parameter untuk mengirim perintah jarak jauh berbahaya, ”CISA mengatakan.
Perintah memungkinkan aktor ancaman menjalankan aktivitas pengintaian dengan mengumpulkan informasi sistem, mendaftarkan direktori root, memetakan jaringan, mengambil file jahat, dan mengekstraksi kredensial protokol akses direktori (LDAP) yang ringan.
Masing -masing set malware yang dianalisis termasuk loader yang berbeda tetapi dengan nama yang sama, dan pendengar jahat yang memungkinkan menyuntikkan dan menjalankan kode sewenang -wenang pada sistem yang dikompromikan:
- Set 1:
- Web-install.jar (Loader 1)
- Reflectutil.class – Termasuk di Loader 1, memanipulasi objek Java untuk menyuntikkan dan mengelola pendengar berbahaya di set
- SecurityHandLListener.class – Pendengar berbahaya yang dapat digunakan untuk menyuntikkan dan menjalankan kode di server, untuk mengeksfiltrasi data, dan membangun kegigihan
- Set 2:
- Web-install.jar (Loader 2)
- Webandroidappinstaller.class – Pendengar jahat di Loader 2, yang dapat digunakan aktor ancaman untuk menyuntikkan dan menjalankan kode, membuat kegigihan, dan mengekspiltrate data
Menurut CISA, aktor ancaman mengirimkan malware melalui permintaan HTTP GET terpisah dalam potongan-potongan yang disegmentasikan, base-encoded.
Dua fungsi set malware yang berbeda sama, mencegat permintaan HTTP spesifik untuk mendekode dan menjalankan muatan yang disediakan oleh penyerang.
CISA telah memberikan indikator kompromi terperinci (IOC), aturan Yara, dan aturan Sigma untuk membantu organisasi mendeteksi serangan tersebut.
Rekomendasi agensi untuk perusahaan yang menemukan malware yang dianalisis atau file serupa pada sistem mereka adalah mengisolasi host yang terkena dampak, mengumpulkan dan meninjau artefak, dan membuat gambar disk forensik lengkap untuk dibagikan dengan CISA.
Sebagai tindakan mitigasi, CISA merekomendasikan penambalan IVANTI EPMM yang terpengaruh segera dan merawat sistem manajemen perangkat seluler (MDM) sebagai aset bernilai tinggi (HVA) yang membutuhkan pembatasan dan pemantauan keamanan tambahan.
