Ataques informáticos chineses exploram vulnerabilidades no Ivanti EPMM

Em 22 de maio de 2025, o The Hacker News noticiou que o grupo de ciberespionagem chinês UNC5221 explorou duas vulnerabilidades recentemente corrigidas no software Ivanti Endpoint Manager Mobile (EPMM) para realizar ataques direcionados a nível global. As vulnerabilidades, identificadas como CVE-2025-4427 e CVE-2025-4428, permitem a execução de código arbitrário em dispositivos vulneráveis sem necessidade de autenticação.

Setores afetados e modalidades de ataque

Os ataques, iniciados em 15 de maio de 2025, visaram setores críticos como a saúde, as telecomunicações, a aviação, as entidades governamentais locais, as finanças e a defesa na Europa, na América do Norte e na Ásia-Pacífico. O UNC5221 demonstrou um conhecimento profundo da arquitetura interna do EPMM, utilizando componentes de sistema legítimos para exfiltrar dados de forma furtiva.

Técnicas utilizadas pelos atacantes

O grupo explorou o endpoint "/mifs/rs/api/v2/" para obter uma shell inversa interativa e executar comandos remotos em implementações do Ivanti EPMM. Posteriormente, foi distribuído o KrustyLoader, um loader baseado em Rust atribuído ao UNC5221, que permite a entrega de payloads adicionais como o Sliver. Os atacantes utilizaram também credenciais MySQL hard-coded para aceder de forma não autorizada à base de dados e exfiltrar dados sensíveis relativos a dispositivos móveis geridos, utilizadores LDAP e tokens de acesso do Office 365.

Ferramentas e infraestruturas de comando e controlo

Os ataques caracterizam-se pela utilização de comandos shell ofuscados para o reconhecimento do host, seguida da instalação do KrustyLoader a partir de um bucket AWS S3 e da utilização do Fast Reverse Proxy (FRP) para facilitar o reconhecimento da rede e o movimento lateral. O FRP é uma ferramenta open-source amplamente partilhada entre os grupos de hacking chineses.

Recomendações para as organizações

A Ivanti lançou patches para ambas as vulnerabilidades e recomendou vivamente aos clientes que sigam as orientações descritas no aviso de segurança oficial, para protegerem os seus ambientes o mais rapidamente possível.

Conclusão

Os ataques do UNC5221 evidenciam a importância de uma gestão proativa das vulnerabilidades e da segurança dos dispositivos móveis empresariais. As organizações devem assegurar-se de que aplicam atempadamente os patches de segurança e de que monitorizam constantemente as suas infraestruturas para detetar atividades suspeitas.