Un equipo VPN existe para que las personas correctas puedan entrar a la red desde cualquier lugar. En octubre, una cadena de tres fallas en uno de los equipos más usados permitió que las personas equivocadas hicieran lo mismo, sin contraseña y sin dejar nada que la propia herramienta de verificación del fabricante pudiera encontrar.
Qué pasó
A Volexity la llamaron el 5 de octubre para revisar el equipo Connect Secure de un cliente que tenía la última versión. Al rastrear hacia atrás, encontró que el atacante estaba dentro desde el 3 de octubre, a través de una cadena de fallas que nadie conocía.
La primera falla le permitió al atacante saltarse la autenticación y ejecutar comandos en el equipo sin iniciar sesión. La segunda permitió que esos comandos corrieran como root, con control total del equipo. Una tercera, que CISA describe como una forma de subir archivos con contenido elegido por el atacante a una ubicación predecible, puede encadenarse con las otras dos. Ivanti corrigió la primera el 13 de octubre y las demás el 29 de octubre, lo que significa que los equipos parchados a mediados de octubre siguieron expuestos a parte de la cadena otras dos semanas.
El atacante no instaló malware ni web shells. Trabajó desde la memoria, alteró los registros y modificó el sistema en ejecución para que la Integrity Checker Tool de Ivanti, la utilidad que se les pide a los clientes correr para detectar un compromiso, no reportara nada raro.
Lo que hizo después es lo que importa para cualquier empresa. Tomó las credenciales de directorio que el equipo usa para validar inicios de sesión, corrió una herramienta de captura de red disfrazada para juntar contraseñas y hashes de contraseñas mientras el personal se conectaba, consultó Active Directory y exportó los resultados. Luego corrió una herramienta a la medida para buscar en el directorio contraseñas de LAPS, que son las contraseñas de administrador local de cada computadora Windows, e información de recuperación de BitLocker, que desbloquea discos cifrados. Volexity evaluó con alta confianza que el atacante se preparaba para moverse hacia el resto de la red, y con confianza media que usaba modelos de lenguaje en su trabajo.
Por qué importa este caso
El equipo VPN no es solo una puerta. Está conectado a tu directorio, ve cada contraseña que tu personal escribe al conectarse desde casa y la red que hay detrás confía en él. Tomarlo le da a un atacante una posición que de otro modo requeriría comprometer un servidor dentro del edificio.
La evasión es la otra lección. Los clientes que corrieron la herramienta de verificación de Ivanti y obtuvieron un resultado limpio no necesariamente estaban limpios. Por eso el consejo de CISA para cualquier equipo con sospecha de compromiso es tajante: restablecerlo de fábrica, actualizarlo, restaurar la configuración y cambiar cada contraseña y certificado que guardaba.
Esto sigue un patrón sobre el que ya escribimos varias veces en un mes, desde los firewalls de Palo Alto hasta el servicio VPN de Cisco. Los equipos en el borde de la red son por donde empiezan los atacantes.
Qué hacer en concreto
Si tienes Ivanti Connect Secure, actualiza a la última versión corregida de tu línea. Los parches del 29 de octubre son 25.1.1.3 y 22.8R2.6. Las líneas de versiones de Ivanti son confusas, así que revisa su aviso para la tuya. La versión 22.8 llega al fin de su vida útil el 31 de enero de 2027, así que planea el cambio desde ahora.
Si el equipo estuvo expuesto desde principios de octubre, asume que pudo haber sido comprometido. Aquí no basta con un resultado limpio de la Integrity Checker Tool. Sigue los pasos de recuperación de CISA: respalda la configuración, restablece de fábrica, actualiza, restaura y luego cambia cada contraseña que el equipo guardaba o vio, incluida la cuenta de servicio del directorio que usa. Revoca y vuelve a emitir sus certificados y llaves de API.
Cambia las contraseñas que pasaron por él. Como el atacante capturaba credenciales mientras los usuarios se conectaban, pide a todos los que usaron la VPN desde el 3 de octubre que cambien su contraseña, y cambia las contraseñas de administrador local de tus equipos Windows si usas LAPS.
Vigila tu Active Directory. Busca consultas y exportaciones inusuales, cuentas de servicio usadas desde el equipo VPN de formas inesperadas e intentos de leer los atributos de LAPS o de recuperación de BitLocker.
Uses la VPN que uses, ten la lista clara. Sabe qué marca y versión corre tu equipo de acceso remoto, quién lo parcha y qué tan rápido. Los equipos perimetrales se explotan a los pocos días de conocerse una falla y a veces, como aquí, antes.
El resumen
UTA0576 no necesitó contraseña, no dejó malware y engañó a la propia herramienta de detección del fabricante. Lo que buscaba no era la VPN en sí, sino lo que la VPN podía ver: las credenciales y el directorio de la empresa que hay detrás.
Si usas Ivanti Connect Secure, actualízalo y trata octubre como un posible compromiso. Si usas otra cosa, aprovecha esto para averiguar exactamente qué VPN tienes, quién la parcha y qué tan rápido.
Fuentes
- A series of unauthenticated events: chained exploitation of Ivanti Connect Secure zero-days — Volexity
- CISA urges patching newly exploited vulnerabilities in Ivanti Connect Secure — CISA
- CISA adds two known exploited vulnerabilities to catalog — CISA
- Attackers chain three Ivanti Connect Secure flaws — The Hacker News
- Ivanti Connect Secure zero-day exploited in the wild — Rapid7
- Ivanti warns of Connect Secure zero-day exploited in attacks — BleepingComputer
