Ivanti RCE-attacker kopplas till en enda stor kampanj

Säkerhetsanalytiker följer en kraftig ökning av Ivanti RCE-attacker som riktas mot företagsservrar för mobil enhetshantering. Utredningen visar att aktiviteten inte är spridd över många grupper utan koncentrerad till en enda samordnad kampanj.

Angriparen fokuserar på fjärrutnyttjade sårbarheter som möjliggör systemövertagande utan inloggningsuppgifter, vilket gör exponerade servrar till direkta ingångspunkter i företagsmiljöer.

Hur sårbarheterna utnyttjas

Kampanjen riktar in sig på kritiska brister som tillåter kommandokörning direkt från internet. Eftersom autentisering inte krävs kan angripare försöka kompromettera system så snart tjänsten är åtkomlig.

Efter lyckad exploatering kan intrångsgöraren köra kommandon på servern och behålla ihållande åtkomst. Därefter kan systemet användas som språngbräda för att ta sig djupare in i intern infrastruktur.

Automatiserade skanningsverktyg söker kontinuerligt efter sårbara system, vilket möjliggör snabb kompromettering kort efter exponering.

En aktör bakom merparten av aktiviteten

Nätverkstelemetri visar att de flesta exploateringsförsök kommer från samma infrastrukturskälla. Beteendet tyder på automatisering snarare än manuell riktning.

Angriparen sonderar upprepade gånger system, verifierar lyckad körning och registrerar åtkomliga servrar. Mönstret antyder förberedelser för senare intrångsfaser snarare än omedelbar datastöld.

Sådana operationer kopplas ofta till så kallade access brokers, där komprometterade system samlas in och senare används eller säljs.

Bredare målbild

Samma infrastruktur skannar även efter andra företagsrelaterade sårbarheter, vilket visar en omfattande kartläggning över flera teknologier. Målet verkar vara att bygga upp en stor mängd ingångspunkter snarare än att fokusera på en enskild organisation.

Eftersom kampanjen pågår kontinuerligt riskerar nyexponerade servrar att angripas nästan omedelbart efter att de blivit tillgängliga online.

Varför organisationer är utsatta

Många miljöer förlitar sig på externt åtkomliga administrationsservrar för fjärrhantering. Om uppdateringar eller skyddsåtgärder fördröjs blir dessa system värdefulla mål.

Eftersom attacken inte kräver inloggningsuppgifter ger traditionella kontoskydd inget skydd. Själva exponeringen räcker för att utlösa intrångsförsök.

Slutsats

Ivanti RCE-attackerna visar hur moderna hotkampanjer fungerar i stor skala. En enda automatiserad operation kan generera omfattande intrångsförsök över hela internet.

Organisationer måste behandla exponerade tjänster som ständigt attackerade tillgångar. Snabb patchning, begränsad åtkomst och nätverkssegmentering är fortsatt avgörande försvar mot automatiserade exploateringskampanjer.