Volexity는 2026년 10월 Ivanti Connect Secure(ICS) VPN 장비에서 인증 우회·원격 코드 실행·권한 상승 취약점을 잇는 공격을 확인했다. 공격자는 인증 없이 루트 권한을 얻어 자격 증명과 Active Directory 정보를 수집했으며, 흔적을 지우는 기법 때문에 장비 점검에는 포렌식 분석이 필요하다.
Volexity에 따르면 UTA0576은 2026년 10월 3일부터 당시 최신 버전인 22.8R2.4(Build 19097)를 실행하던 장비를 공격했다. 인증 우회와 원격 코드 실행 취약점은 CVE-2026-104935로 등록됐으며, Ivanti는 10월 13일 이 두 취약점을 수정하는 패치를 공개했다. 권한 상승 취약점은 당시 수정 작업 중이었고, Ivanti는 향후 릴리스에 포함하겠다고 밝혔다.
공격자는 공개된 welcome.cgi 요청에 X-DSCGI-PATH 헤더를 조작해 인증이 필요한 CGI 스크립트로 요청을 전달했다. 이어 wu.cgi에 Perl 스크립트를 업로드했다. 파일이 유효한 ZIP인지 검사해 삭제하기 전 짧은 시간 동안 디스크에 남는 점을 노려, 병렬 요청으로 스크립트 실행을 시도했다. 이후 ICS의 dsinvoked 유지보수 서비스를 악용해 루트 권한으로 코드를 실행했다.
Volexity는 공격자가 도메인 자격 증명, LAPS 암호, BitLocker 복구 키와 LDAP 트래픽에서 얻을 수 있는 인증 정보를 노렸다고 분석했다. 공격자는 Active Directory 정보를 조회해 외부로 반출하고, 암호 스프레이와 내부 네트워크 정찰도 수행했다. 다만 공격이 탐지돼 중단됐기 때문에 최종 목적은 확인되지 않았다. Volexity는 관찰된 활동이 피해자 네트워크로의 추가 이동을 준비한 정황이라고 높은 신뢰도로 평가했다.
공격자는 백도어나 웹셸을 설치하지 않고 취약점 공격 경로의 HTTPS 요청으로 명령과 결과를 주고받았다. 또한 Ivanti 디버그 로그와 Linux 감사 로그에서 관련 기록을 지우고, 메모리에서 변경한 라이브러리 코드와 설정을 복구하는 등 흔적을 감추려 했다. 따라서 Ivanti Integrity Checker Tool이 디스크의 예상치 못한 변경을 찾지 못할 수 있으며, 장비가 침해됐다고 의심되면 메모리·네트워크 포렌식으로 조사해야 한다고 Volexity는 권고했다.
Volexity는 영향받는 장비에 Ivanti가 공개한 패치를 적용하고, /dana-na/auth/url_default/welcome.cgi에 대한 대량 요청과 URL 경로 및 X-DSCGI-PATH 값의 불일치를 감시하라고 권고했다. /tmp/에서 침해 후 활동의 흔적도 확인해야 한다. Volexity가 안내한 업그레이드 대상 버전은 25.1.1 이하, 25.1.2, 22.8R2.4다. 관련 침해 지표는 Volexity GitHub 저장소에서 확인할 수 있다.
Volexity는 UTA0576의 동기를 범죄 목적일 가능성이 높다고 보지는 않았으며, 이 평가는 낮은 신뢰도라고 밝혔다. 또한 공격 개발과 침해 후 활동에 대규모 언어 모델을 사용했을 가능성을 중간 신뢰도로 평가했지만, 이는 Volexity의 분석이며 확인된 사실은 아니다. Ivanti의 보안 권고와 업그레이드 안내에서 패치 정보를 확인할 수 있다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요