Una nueva variante de malware llamada RESURGE está atacando activamente dispositivos Ivanti Connect Secure mediante la explotación de una vulnerabilidad crítica de día cero, lo que ha llevado a la Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE.UU. (CISA) a emitir una advertencia formal. El malware está diseñado para sobrevivir a reinicios, robar credenciales y mantenerse operativo mucho después del compromiso inicial.​

Una variante de malware recientemente descubierta llamada RESURGE está atacando activamente dispositivos Ivanti Connect Secure al explotar una vulnerabilidad crítica de día cero, lo que ha llevado a la Agencia de Ciberseguridad e Infraestructura de EE.UU. (CISA) a emitir una advertencia formal.

El malware está diseñado para sobrevivir a reinicios, robar credenciales y mantenerse en el sistema mucho después del ataque inicial.

El principal vector de ataque es CVE-2025-0282, una vulnerabilidad de desbordamiento de búfer basada en pila que afecta a Ivanti Connect Secure, Policy Secure y ZTA Gateways.

En un desbordamiento de búfer basado en pila, un atacante envía más datos de los que puede contener un búfer de memoria, lo que corrompe la memoria cercana y le permite ejecutar su propio código en el dispositivo objetivo.

CISA añadió oficialmente CVE-2025-0282 a su Catálogo de Vulnerabilidades Explotadas Conocidas el 8 de enero de 2025, tras una explotación activa que se observó por primera vez en diciembre de 2024.

Ivanti Connect Secure y productos relacionados son ampliamente utilizados como pasarelas de acceso remoto seguro en empresas y agencias gubernamentales.

Los analistas de CISA identificaron RESURGE tras examinar tres archivos recuperados de un dispositivo Ivanti Connect Secure de una organización de infraestructura crítica, donde los actores de amenazas ya habían aprovechado CVE-2025-0282 para obtener su primer acceso.

Junto a RESURGE, los investigadores encontraron una variante de SPAWNSLOTH, una herramienta de manipulación de registros diseñada para borrar evidencia de intrusión en los logs de los dispositivos Ivanti, y un binario personalizado llamado “dsmain” que incluye utilidades BusyBox para descifrar y reempaquetar imágenes de coreboot.

Juntos, estos tres componentes forman un kit de ataque bien estructurado: una pieza obtiene acceso, otra limpia el rastro y otra reconstruye el núcleo del sistema para mantener la puerta abierta.

RESURGE se basa directamente en SPAWNCHIMERA, un malware conocido de la familia SPAWN que ya era capaz de sobrevivir a reinicios del sistema.

El archivo RESURGE, identificado como “libdsupgrade.so”, introduce tres comandos adicionales que amplían significativamente sus capacidades más allá de su predecesor.

CISA lo describió como un rootkit, dropper, backdoor, bootkit, proxy y tunneler todo en uno, lo que significa que un solo archivo le da al atacante casi todo lo necesario para tomar el control total de un dispositivo comprometido.

El alcance de esta amenaza es considerable. Dado que Ivanti Connect Secure actúa como pasarela VPN para miles de organizaciones, un compromiso exitoso puede exponer toda una red empresarial desde dentro.

Una vez que RESURGE se instala, los atacantes pueden robar credenciales, crear cuentas de usuario no autorizadas, restablecer contraseñas y escalar sus propios privilegios, todo sin activar las alertas que normalmente indicarían una brecha.

Cómo RESURGE se oculta y persiste

Lo que hace que RESURGE sea especialmente difícil de eliminar es el nivel en el que se incrusta en un sistema comprometido.

El malware se inserta en el archivo “ld.so.preload”, lo que lo obliga a cargarse al inicio antes que casi cualquier otro proceso en el dispositivo.

Esta posición de carga temprana le da al malware control directo sobre el sistema desde el momento en que el dispositivo se enciende, haciéndolo invisible para la mayoría de las herramientas de escaneo estándar.

Además de la persistencia a nivel de arranque, RESURGE también configura un web shell —un script ligero utilizado como interfaz de comandos remotos— y lo copia directamente en el disco de arranque de Ivanti.

Luego modifica la imagen de coreboot, que inicia el dispositivo, incrustando código en una capa lo suficientemente profunda como para sobrevivir a la mayoría de las reinstalaciones de software.

El análisis actualizado de CISA reveló que RESURGE utiliza certificados TLS falsificados y un esquema de hash de huellas digitales CRC32 para diferenciar el tráfico normal de los comandos del atacante.

El tráfico regular se redirige al servidor web real de Ivanti, mientras que solo las conexiones controladas por el atacante activan las acciones del malware, manteniéndolo silencioso y oculto durante las operaciones normales.

CISA insta a las organizaciones afectadas a realizar un restablecimiento de fábrica como el paso más fiable para eliminar la infección. Los sistemas en la nube y virtuales deben usar una imagen limpia externa verificada.

Todas las credenciales de cuenta, tanto privilegiadas como no privilegiadas, deben restablecerse, y la cuenta krbtgt que gestiona la autenticación Kerberos debe reiniciarse dos veces debido a su historial de dos contraseñas.

Las organizaciones deben revocar temporalmente el acceso a los dispositivos afectados, revisar las políticas de acceso y monitorear de cerca las cuentas administrativas en busca de actividad no autorizada.

Cualquier comportamiento sospechoso debe reportarse al Centro de Operaciones 24/7 de CISA en Report@cisa.gov o al teléfono (888) 282-0870.

Fuentes:
https://cybersecuritynews.com/cisa-warns-of-resurge-malware-exploiting-0-days/