RESURGE: Yeni Zararlı Yazılım, Ivanti Açığını Kullanarak Rootkit ve Web Shell Özellikleriyle Saldırıyor
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Ivanti Connect Secure (ICS) cihazlarını hedef alan yeni bir kötü amaçlı yazılım olan RESURGE’ü tespit etti. Bu zararlı yazılım, yakın zamanda yamalanmış bir güvenlik açığını (CVE-2025-0282) kullanarak sistemlere sızıyor.
Ivanti Açığı CVE-2025-0282 ve Etkilenen Sistemler
CVE-2025-0282, stack tabanlı bir arabellek taşması açığı olup, uzaktan kod yürütmeye (RCE) olanak tanıyor. Aşağıdaki sistemleri etkiliyor:
- Ivanti Connect Secure (22.7R2.5 öncesi sürümler)
- Ivanti Policy Secure (22.7R1.2 öncesi sürümler)
- Ivanti Neurons for ZTA Gateways (22.7R2.3 öncesi sürümler)
Bu açık, Çin bağlantılı bir siber casusluk grubu olan UNC5337 tarafından SPAWN kötü amaçlı yazılım ekosistemini dağıtmak için kullanıldı.
SPAWN ekosistemi, aşağıdaki bileşenleri içeriyor:
- SPAWNANT
- SPAWNMOLE
- SPAWNSNAIL
Ancak yeni bir varyant olan SPAWNCHIMERA, bu modülleri tek bir zararlı yazılımda birleştirerek saldırganlara daha fazla yetenek sağlıyor.
CISA'nın analizine göre RESURGE, SPAWNCHIMERA’nın daha gelişmiş bir sürümü ve aşağıdaki yeni özellikleri içeriyor:
Sisteme Entegre Olma ve Web Shell Kurma- ld.so.preload içine kendini ekleyerek kalıcılığı artırıyor.
- Web shell yükleyerek sistem bütünlüğünü bozuyor, dosyaları değiştiriyor.
Yetki Yükseltme ve Şifre Toplama- Kimlik bilgilerini çalmak, hesap oluşturmak, şifre sıfırlamak için web shell kullanıyor.
- Root erişimini artırarak sistem üzerinde tam kontrol sağlıyor.
Ivanti’nin Boot Diskine Kendi Kötü Amaçlı Kodunu Kopyalama- Ivanti cihazının çalıştığı boot diskine web shell kopyalayarak saldırıyı kalıcı hale getiriyor.
- Çekirdek (coreboot) imajını manipüle ederek zararlı yazılımın kaldırılmasını zorlaştırıyor.
Ek Tespitler ve SPAWNSLOTH Varyantı
CISA, Ivanti sistemlerinde iki yeni zararlı yazılım dosyası daha keşfetti:
- SPAWNSLOTH ("liblogblock.so")
- Özel bir 64-bit Linux ELF ikili dosyası ("dsmain")
RESURGE’e Karşı Alınması Gereken Önlemler
Ivanti cihazlarını en son sürüme güncelleyin! Tüm ayrıcalıklı ve ayrıcalıksız hesapların şifrelerini sıfırlayın. Tüm alan (domain) kullanıcılarının ve yerel hesapların parolalarını değiştirin. Etkilenen cihazlara erişim iznini geçici olarak kaldırarak inceleme yapın. Şüpheli hesap hareketlerini izleyin.Bu saldırılar, tehdit aktörlerinin Ivanti güvenlik açığını aktif olarak istismar ettiğini ve taktiklerini sürekli geliştirdiğini gösteriyor. Güvenlik önlemleri almayan organizasyonlar, uzun vadeli gizli casusluk saldırılarının hedefi olabilir. 🛡
