Atacantes encadenaron tres vulnerabilidades de día cero en los dispositivos VPN de Ivanti Connect Secure para obtener acceso de nivel raíz sin necesidad de iniciar sesión. Tras el acceso, buscaron credenciales y datos sensibles de Active Directory. Esta actividad, iniciada el 3 de octubre de 2026, afectó a un dispositivo totalmente actualizado, demostrando que mantener el software al día no fue suficiente para evitar el ataque.

Los atacantes encadenaron tres fallos de día cero en los dispositivos VPN Ivanti Connect Secure para obtener acceso de nivel root sin necesidad de iniciar sesión, y posteriormente buscaron credenciales y datos sensibles de Active Directory.

La actividad, que comenzó el 3 de octubre de 2026, tuvo como objetivo un dispositivo totalmente actualizado que ejecutaba la versión 22.8R2.4, lo que demuestra que mantener el dispositivo al día no lo protegió de estos fallos previamente desconocidos.

Volexity descubrió la intrusión mientras investigaba una actividad sospechosa en un cliente y trabajó con Ivanti para examinar el dispositivo afectado. La firma de seguridad identifica al actor previamente desconocido como UTA0576.

Su análisis reveló intentos de robo de credenciales de dominio, contraseñas de la Solución de Contraseñas de Administrador Local (LAPS), claves de recuperación de BitLocker y otra información del directorio.

Investigadores de Volexity descubrieron que la cadena combinaba una omisión de autenticación y una debilidad de escritura de archivos que Ivanti rastrea conjuntamente como CVE-2026-104935, seguida de un fallo independiente de escalada de privilegios.

Los dos primeros problemas permitieron al atacante llegar a un script protegido y ejecutar código como el usuario cgi-server del dispositivo. El tercer fallo permitió entonces que UTA0576 ejecutara comandos como root.

Ivanti lanzó una corrección para CVE-2026-104935 el 13 de octubre, mientras que el problema de escalada de privilegios seguía en desarrollo para una futura actualización.

Ivanti Connect Secure: Explotación de Días Cero

Volexity afirmó que la omisión inicial aprovechó incorrectamente la gestión de solicitudes web del dispositivo. Una solicitud a un script de inicio de sesión público podía incluir un encabezado X-DSCGI-PATH que dirigía al dispositivo hacia un script diferente y protegido.

Luego, el atacante abusó del gestor de carga de archivos para colocar brevemente un script en el dispositivo. Al enviar solicitudes repetidas rápidamente, UTA0576 podía ejecutar el archivo antes de que el dispositivo lo eliminara.

Tras lograr la ejecución inicial de código, el actor utilizó el servicio privilegiado dsinvoked para elevar el acceso a root. El exploit modificó datos de configuración en la memoria, solicitó al servicio ejecutar una tarea con un script proporcionado por el atacante y luego restauró la configuración original.

También eliminó entradas seleccionadas de los registros de depuración de Ivanti y de los registros de auditoría de Linux. Debido a que los cambios ocurrieron en la memoria y fueron revertidos, es posible que la Herramienta de Verificación de Integridad de Ivanti no muestre signos de compromiso.

Según Volexity, el actor no instaló una web shell ni una puerta trasera. En su lugar, envió comandos a través del mismo canal de exploit HTTPS y recibió los resultados en las respuestas.

Esto hizo que la actividad fuera más difícil de detectar si solo se buscaba malware persistente. Si sigues el informe completo de los días cero de Ivanti, debes tener en cuenta que un escaneo de archivos limpio o la ausencia de una web shell no pueden, por sí solos, descartar una intrusión.

Una vez dentro, UTA0576 utilizó la cuenta de servicio de Active Directory del dispositivo VPN para realizar consultas a un controlador de dominio a través de LDAP. Las búsquedas incluyeron contraseñas de LAPS, datos de recuperación de BitLocker, campos de cuentas que contenían contraseñas, rutas de scripts de inicio de sesión y otros detalles de usuario.

El actor también extrajo credenciales almacenadas en el dispositivo, revisó los registros de autenticación en busca de nombres de usuario válidos e intentó el ataque de "password spraying" contra cuentas de Active Directory.

La operación también incluyó el descubrimiento de red y la recopilación de datos. Una herramienta de captura de paquetes buscó en el tráfico credenciales LDAP, credenciales de autenticación básica HTTP y hashes de desafío-respuesta NTLM.

Movimiento lateral

El actor intentó exportar el tráfico capturado y los resultados del directorio a través del canal de exploit. Volexity evaluó con alta confianza que la actividad apuntaba a la preparación para un movimiento lateral, aunque la investigación no estableció el objetivo final del actor.

Este enfoque en dispositivos VPN y credenciales de directorio recuerda otras actividades que Volexity ha investigado, incluida la campaña de robo de credenciales de VPN de SonicWall.

Los incidentes involucraron diferentes productos y actores de amenazas, pero ambos muestran por qué los dispositivos perimetrales pueden exponer tráfico interno sensible. No deben ser tratados como la misma campaña.

Deberías instalar la última actualización de Ivanti que se aplique a tu dispositivo e investigar los equipos que puedan haber estado expuestos.

Volexity recomienda vigilar las solicitudes repetidas a /dana-na/auth/url_default/welcome.cgi, especialmente cuando el valor de X-DSCGI-PATH apunta a una ubicación diferente.

Tu equipo también debería buscar archivos y actividad inusuales en /tmp/ y revisar la evidencia de red. Los casos sospechosos requieren análisis forenses de memoria y de red, ya que la manipulación de registros y los cambios solo en memoria pueden ocultar rastros de las comprobaciones rutinarias.

Volexity publicó indicadores relacionados con el caso, pero su informe no proporciona valores SHA de archivos. La dirección y los artefactos enumerados a continuación provienen del informe; son pistas para investigar, no pruebas por sí solas de que un dispositivo haya sido comprometido.