Des cyberattaques chinoises exploitent des vulnérabilités dans Ivanti EPMM

Le 22 mai 2025, The Hacker News a rapporté que le groupe de cyberespionnage chinois UNC5221 avait exploité deux vulnérabilités récemment corrigées dans le logiciel Ivanti Endpoint Manager Mobile (EPMM) afin de mener des attaques ciblées à l'échelle mondiale. Les vulnérabilités, identifiées sous les références CVE-2025-4427 et CVE-2025-4428, permettent l'exécution de code arbitraire sur des appareils vulnérables sans nécessiter d'authentification.

Secteurs touchés et mode opératoire des attaques

Les attaques, qui ont débuté le 15 mai 2025, ont visé des secteurs critiques tels que la santé, les télécommunications, l'aviation, les collectivités locales, la finance et la défense en Europe, en Amérique du Nord et en Asie-Pacifique. UNC5221 a fait preuve d'une connaissance approfondie de l'architecture interne d'EPMM, en utilisant des composants système légitimes pour exfiltrer des données de manière furtive.

Techniques utilisées par les attaquants

Le groupe a exploité le endpoint « /mifs/rs/api/v2/ » pour obtenir un reverse shell interactif et exécuter des commandes à distance sur des déploiements d'Ivanti EPMM. Ensuite, KrustyLoader, un loader basé sur Rust attribué à UNC5221, a été déployé, permettant la livraison de charges utiles (payloads) supplémentaires comme Sliver. Les attaquants ont également utilisé des identifiants MySQL codés en dur (hard-coded) pour accéder sans autorisation à la base de données et exfiltrer des données sensibles relatives aux appareils mobiles gérés, aux utilisateurs LDAP et aux jetons d'accès Office 365.

Outils et infrastructures de commande et contrôle

Les attaques se caractérisent par l'utilisation de commandes shell obfusquées pour la reconnaissance de l'hôte, suivie du téléchargement de KrustyLoader depuis un bucket AWS S3 et de l'utilisation de Fast Reverse Proxy (FRP) pour faciliter la reconnaissance du réseau et le déplacement latéral. FRP est un outil open source largement partagé entre les groupes de hackers chinois.

Recommandations pour les organisations

Ivanti a publié des correctifs pour les deux vulnérabilités et recommande vivement à ses clients de suivre les consignes décrites dans l'avis de sécurité officiel afin de protéger leurs environnements dans les plus brefs délais.

Conclusion

Les attaques d'UNC5221 soulignent l'importance d'une gestion proactive des vulnérabilités et de la sécurité des appareils mobiles en entreprise. Les organisations doivent veiller à appliquer rapidement les correctifs de sécurité et à surveiller en permanence leurs infrastructures afin de détecter toute activité suspecte.