Ivanti-RCE-Angriffe werden mit einer großen Einzelkampagne in Verbindung gebracht

Sicherheitsanalysten beobachten einen starken Anstieg von Ivanti-RCE-Angriffen, die auf Server zur Verwaltung mobiler Geräte in Unternehmen abzielen. Untersuchungen zeigen, dass die Aktivität nicht auf viele Gruppen verteilt ist, sondern Teil einer einzigen koordinierten Kampagne.

Der Angreifer konzentriert sich auf aus der Ferne ausnutzbare Schwachstellen, die eine Systemübernahme ohne Zugangsdaten ermöglichen und exponierte Server zu direkten Einstiegspunkten in Unternehmensnetzwerke machen.

Wie die Schwachstellen ausgenutzt werden

Die Kampagne nutzt kritische Lücken, die Befehlsausführung direkt aus dem Internet erlauben. Da keine Authentifizierung erforderlich ist, können Angreifer einen Kompromittierungsversuch starten, sobald der Dienst erreichbar ist.

Nach erfolgreicher Ausnutzung kann der Eindringling Befehle auf dem Server ausführen und dauerhaften Zugriff behalten. Von dort lässt sich das System als Sprungbrett nutzen, um tiefer in die interne Infrastruktur vorzudringen.

Automatisierte Scan-Tools suchen kontinuierlich nach verwundbaren Systemen und ermöglichen eine schnelle Kompromittierung kurz nach deren Exponierung.

Ein Akteur hinter dem Großteil der Aktivität

Netzwerktelemetrie zeigt, dass die meisten Ausnutzungsversuche aus derselben Infrastrukturquelle stammen. Das Verhalten deutet auf Automatisierung statt auf manuelle Zielauswahl hin.

Der Angreifer prüft wiederholt Systeme, bestätigt erfolgreiche Ausführung und erfasst erreichbare Server. Dieses Muster spricht für Vorbereitungen späterer Angriffsphasen statt unmittelbaren Datendiebstahls.

Solche Operationen werden häufig mit sogenannten Access Brokern in Verbindung gebracht, die kompromittierte Systeme sammeln und später nutzen oder weiterverkaufen.

Breiteres Zielverhalten

Dieselbe Infrastruktur scannt auch nach anderen Unternehmensschwachstellen und weist damit auf umfangreiche Aufklärung über mehrere Technologien hinweg hin. Ziel scheint der Aufbau eines großen Pools an Einstiegspunkten zu sein, nicht die Fokussierung auf eine einzelne Organisation.

Da die Kampagne kontinuierlich läuft, sind neu exponierte Server fast sofort nach ihrer Erreichbarkeit gefährdet.

Warum Organisationen exponiert sind

Viele Umgebungen sind auf extern erreichbare Verwaltungsserver für Fernadministration angewiesen. Werden Updates oder Gegenmaßnahmen verzögert, werden diese Systeme zu wertvollen Zielen.

Da der Angriff keine Zugangsdaten erfordert, bieten klassische Kontoschutzmaßnahmen keinen Schutz. Die reine Exponierung reicht aus, um Kompromittierungsversuche auszulösen.

Fazit

Die Ivanti-RCE-Angriffe zeigen, wie moderne Bedrohungskampagnen in großem Maßstab arbeiten. Eine einzige automatisierte Operation kann umfangreiche Einbruchsversuche im gesamten Internet erzeugen.

Organisationen müssen exponierte Dienste als dauerhaft angegriffene Ressourcen behandeln. Schnelles Patchen, eingeschränkter Zugriff und Netzwerksegmentierung bleiben entscheidende Schutzmaßnahmen gegen automatisierte Ausnutzungskampagnen.