Ciberataques chinos explotan vulnerabilidades en Ivanti EPMM

El 22 de mayo de 2025, The Hacker News informó de que el grupo chino de ciberespionaje UNC5221 ha explotado dos vulnerabilidades recientemente corregidas en el software Ivanti Endpoint Manager Mobile (EPMM) para llevar a cabo ataques dirigidos a escala global. Las vulnerabilidades, identificadas como CVE-2025-4427 y CVE-2025-4428, permiten la ejecución de código arbitrario en dispositivos vulnerables sin necesidad de autenticación.

Sectores afectados y modalidad de ataque

Los ataques, iniciados el 15 de mayo de 2025, han tenido como objetivo sectores críticos como la sanidad, las telecomunicaciones, la aviación, las administraciones públicas locales, las finanzas y la defensa en Europa, Norteamérica y Asia-Pacífico. UNC5221 ha demostrado un profundo conocimiento de la arquitectura interna de EPMM, utilizando componentes legítimos del sistema para exfiltrar datos de forma sigilosa.

Técnicas utilizadas por los atacantes

El grupo explotó el endpoint "/mifs/rs/api/v2/" para obtener una shell inversa interactiva y ejecutar comandos remotos en implementaciones de Ivanti EPMM. Posteriormente, se desplegó KrustyLoader, un loader basado en Rust atribuido a UNC5221, que permite la entrega de payloads adicionales como Sliver. Los atacantes también utilizaron credenciales MySQL hard-coded para acceder de forma no autorizada a la base de datos y exfiltrar datos sensibles relativos a dispositivos móviles gestionados, usuarios LDAP y tokens de acceso de Office 365.

Herramientas e infraestructuras de mando y control

Los ataques se caracterizan por el uso de comandos shell ofuscados para el reconocimiento del host, seguidos del despliegue de KrustyLoader desde un bucket de AWS S3 y del uso de Fast Reverse Proxy (FRP) para facilitar el reconocimiento de la red y el movimiento lateral. FRP es una herramienta de código abierto ampliamente compartida entre los grupos de hacking chinos.

Recomendaciones para las organizaciones

Ivanti ha publicado parches para ambas vulnerabilidades y ha recomendado encarecidamente a sus clientes que sigan las directrices indicadas en el aviso de seguridad oficial para proteger sus entornos lo antes posible.

Conclusión

Los ataques de UNC5221 ponen de relieve la importancia de una gestión proactiva de las vulnerabilidades y de la seguridad de los dispositivos móviles corporativos. Las organizaciones deben asegurarse de aplicar con prontitud los parches de seguridad y de monitorizar constantemente sus infraestructuras para detectar actividades sospechosas.