Aanvallers benutten drie kwetsbaarheden in Ivanti Connect Secure VPN om volledige controle te krijgen en zoeken BitLocker recovery keys.
Bij recente aanvallen op Ivanti vpn-servers wisten aanvallers door het combineren van drie verschillende kwetsbaarheden volledige controle over de systemen te verkrijgen. Vervolgens probeerden zij diverse credentials te stelen, waaronder BitLocker recovery keys. Het Nationaal Cyber Security Centrum (NCSC), het Amerikaanse cyberagentschap CISA en andere overheidsinstanties roepen organisaties op om hun Ivanti vpn-servers direct te patchen.
Ivanti bracht gisteren beveiligingsupdates uit voor een kwetsbaarheid in Ivanti Connect Secure (CVE-2026-104935). Deze vpn-oplossing, voorheen bekend als Pulse Secure, maakt het mogelijk dat gebruikers toegang krijgen tot het netwerk van hun organisatie. Ivanti meldt dat een beperkt aantal klanten via deze kwetsbaarheid is gehackt, maar verstrekte geen details over de aanvallen.
Cybersecuritybedrijf Volexity ontdekte op 5 oktober een zeroday-aanval op een volledig gepatchte Ivanti vpn-server. De aanval, die op 3 oktober plaatsvond, maakte gebruik van een keten van een authentication bypass, remote code execution (RCE) en privilege escalation om ongeauthenticeerd code als root uit te voeren. Hiermee kregen de aanvallers volledige controle over de vpn-server.
Vanuit de gehackte vpn-server richtten de aanvallers zich op het achterliggende netwerk. Ze verzamelden alle credentials op de vpn-server, waaronder domeincredentials via LDAP, standaard HTTP-authenticatiegegevens en NTLM-hashes, mede door het onderscheppen van netwerkverkeer. Daarnaast werd beperkte Active Directory metadata gestolen. Met een gecompromitteerd Active Directory service account en een zelfgemaakte Python LDAP-tool zochten de aanvallers binnen Active Directory naar LAPS lokale admin-wachtwoorden, BitLocker recovery keys en andere wachtwoordhoudende attributen.
Volexity heeft geen informatie over de identiteit van de aanvallers, maar vermoedt dat het om criminele motieven gaat en niet om spionage. Het NCSC beoordeelt de kans op misbruik en de mogelijke schade als hoog en adviseert organisaties dringend de patches te installeren. Een succesvolle aanval kan kwaadwillenden volledige controle over het getroffen systeem geven, wat ook risico's voor achterliggende systemen en gegevens met zich meebrengt.
