Chińskie cyberataki wykorzystują luki w zabezpieczeniach Ivanti EPMM

22 maja 2025 r. serwis The Hacker News poinformował, że chińska grupa cyberszpiegowska UNC5221 wykorzystała dwie niedawno załatane podatności w oprogramowaniu Ivanti Endpoint Manager Mobile (EPMM) do przeprowadzania ukierunkowanych ataków na całym świecie. Podatności, oznaczone jako CVE-2025-4427 i CVE-2025-4428, umożliwiają wykonanie dowolnego kodu na podatnych urządzeniach bez konieczności uwierzytelniania.

Dotknięte sektory i sposób przeprowadzania ataków

Ataki, które rozpoczęły się 15 maja 2025 r., były wymierzone w sektory krytyczne, takie jak ochrona zdrowia, telekomunikacja, lotnictwo, lokalne instytucje rządowe, finanse i obronność w Europie, Ameryce Północnej oraz regionie Azji i Pacyfiku. UNC5221 wykazała się dogłębną znajomością wewnętrznej architektury EPMM, wykorzystując legalne komponenty systemu do skrytej eksfiltracji danych.

Techniki stosowane przez atakujących

Grupa wykorzystała endpoint „/mifs/rs/api/v2/", aby uzyskać interaktywną powłokę zwrotną (reverse shell) i wykonywać zdalne polecenia we wdrożeniach Ivanti EPMM. Następnie wdrożono KrustyLoader – loader napisany w języku Rust, przypisywany grupie UNC5221, który umożliwia dostarczanie dodatkowych ładunków (payload), takich jak Sliver. Atakujący wykorzystali również zakodowane na stałe (hard-coded) dane uwierzytelniające MySQL, aby uzyskać nieautoryzowany dostęp do bazy danych i wykraść poufne dane dotyczące zarządzanych urządzeń mobilnych, użytkowników LDAP oraz tokenów dostępu do Office 365.

Narzędzia i infrastruktura dowodzenia i kontroli

Ataki cechuje użycie zaciemnionych (obfuskowanych) poleceń powłoki do rozpoznania hosta, po których następuje pobranie KrustyLoader z bucketu AWS S3 oraz użycie Fast Reverse Proxy (FRP) w celu ułatwienia rozpoznania sieci i ruchu bocznego. FRP to narzędzie open source, szeroko wykorzystywane przez chińskie grupy hakerskie.

Zalecenia dla organizacji

Firma Ivanti opublikowała poprawki dla obu podatności i stanowczo zaleciła klientom stosowanie wytycznych zawartych w oficjalnym biuletynie bezpieczeństwa, aby jak najszybciej zabezpieczyć swoje środowiska.

Podsumowanie

Ataki grupy UNC5221 pokazują, jak ważne jest proaktywne zarządzanie podatnościami oraz bezpieczeństwo firmowych urządzeń mobilnych. Organizacje powinny niezwłocznie instalować poprawki bezpieczeństwa i stale monitorować swoje infrastruktury, aby wykrywać podejrzaną aktywność.