Chinesische Cyberangriffe nutzen Schwachstellen in Ivanti EPMM aus

Am 22. Mai 2025 berichtete The Hacker News, dass die chinesische Cyberspionagegruppe UNC5221 zwei kürzlich behobene Schwachstellen in der Software Ivanti Endpoint Manager Mobile (EPMM) ausgenutzt hat, um weltweit gezielte Angriffe durchzuführen. Die Schwachstellen mit den Kennungen CVE-2025-4427 und CVE-2025-4428 ermöglichen die Ausführung von beliebigem Code auf anfälligen Geräten, ohne dass eine Authentifizierung erforderlich ist.

Betroffene Branchen und Angriffsmethoden

Die Angriffe, die am 15. Mai 2025 begannen, richteten sich gegen kritische Sektoren wie das Gesundheitswesen, Telekommunikation, Luftfahrt, lokale Behörden, Finanzwesen und Verteidigung in Europa, Nordamerika und im asiatisch-pazifischen Raum. UNC5221 bewies ein tiefes Verständnis der internen Architektur von EPMM und nutzte legitime Systemkomponenten, um Daten unbemerkt abzuziehen.

Von den Angreifern eingesetzte Techniken

Die Gruppe nutzte den Endpunkt "/mifs/rs/api/v2/", um eine interaktive Reverse Shell zu erhalten und Befehle aus der Ferne auf Ivanti-EPMM-Installationen auszuführen. Anschließend wurde KrustyLoader verteilt, ein auf Rust basierender und UNC5221 zugeschriebener Loader, der die Bereitstellung weiterer Payloads wie Sliver ermöglicht. Die Angreifer verwendeten außerdem fest codierte MySQL-Zugangsdaten, um sich unbefugt Zugriff auf die Datenbank zu verschaffen und sensible Daten über verwaltete Mobilgeräte, LDAP-Benutzer und Office-365-Zugriffstoken abzuziehen.

Command-and-Control-Tools und -Infrastrukturen

Die Angriffe zeichnen sich durch den Einsatz verschleierter Shell-Befehle zur Host-Aufklärung aus, gefolgt von der Bereitstellung von KrustyLoader aus einem AWS-S3-Bucket und der Nutzung von Fast Reverse Proxy (FRP), um die Netzwerkaufklärung und die laterale Bewegung zu erleichtern. FRP ist ein Open-Source-Tool, das unter chinesischen Hackergruppen weit verbreitet ist.

Empfehlungen für Organisationen

Ivanti hat Patches für beide Schwachstellen veröffentlicht und seinen Kunden dringend empfohlen, die im offiziellen Sicherheitshinweis beschriebenen Anweisungen zu befolgen, um ihre Umgebungen so schnell wie möglich zu schützen.

Fazit

Die Angriffe von UNC5221 verdeutlichen die Bedeutung eines proaktiven Schwachstellenmanagements und der Sicherheit mobiler Unternehmensgeräte. Organisationen müssen sicherstellen, dass Sicherheitspatches zeitnah eingespielt werden, und ihre Infrastrukturen kontinuierlich überwachen, um verdächtige Aktivitäten zu erkennen.