ਇਵਾਂਤੀ EPMM ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨਾ: ਪ੍ਰੌਵਲ 'ਤੇ ਧਮਕੀ ਦੇਣ ਵਾਲੇ ਅਦਾਕਾਰ

ਚੱਲ ਰਹੇ ਸਾਈਬਰ ਖਤਰਿਆਂ ਦੇ ਜਵਾਬ ਵਿੱਚ, ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਅਤੇ ਬੁਨਿਆਦੀ ਢਾਂਚਾ ਸੁਰੱਖਿਆ ਏਜੰਸੀ (CISA) ਅਤੇ ਨਾਰਵੇਈ ਨੈਸ਼ਨਲ ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਕੇਂਦਰ (NCSC-NO) ਨੇ ਸਾਂਝੇ ਤੌਰ 'ਤੇ ਇੱਕ ਮਹੱਤਵਪੂਰਨ ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਸਲਾਹਕਾਰ (CSA) ਜਾਰੀ ਕੀਤਾ ਹੈ। ਉਹ ਦੋ ਕਮਜ਼ੋਰੀਆਂ ਦੇ ਸ਼ੋਸ਼ਣ ਨੂੰ ਸੰਬੋਧਿਤ ਕਰ ਰਹੇ ਹਨ, ਅਰਥਾਤ CVE-2023-35078 ਅਤੇ CVE-2023-35081। ਇਹ ਕਮਜ਼ੋਰੀਆਂ ਅਡਵਾਂਸਡ ਪਰਸਿਸਟੈਂਟ ਖ਼ਤਰੇ (APT) ਅਦਾਕਾਰਾਂ ਦੇ ਹਮਲਿਆਂ ਦੇ ਅਧੀਨ ਹਨ, ਜਿਨ੍ਹਾਂ ਨੇ ਅਪ੍ਰੈਲ 2023 ਤੋਂ ਜੁਲਾਈ 2023 ਤੱਕ CVE-2023-35078 ਦਾ ਜ਼ੀਰੋ-ਡੇ ਵਜੋਂ ਸ਼ੋਸ਼ਣ ਕੀਤਾ। ਨਾਰਵੇਈ ਸਰਕਾਰੀ ਏਜੰਸੀ ਦੇ ਨੈੱਟਵਰਕ ਨਾਲ ਸਫਲਤਾਪੂਰਵਕ ਸਮਝੌਤਾ ਕੀਤਾ। ਸੁਰੱਖਿਆ ਖਤਰਿਆਂ ਨੂੰ ਹੱਲ ਕਰਨ ਲਈ, ਸਾਫਟਵੇਅਰ ਵਿਕਰੇਤਾ, ਇਵੰਤੀ ਨੇ ਕ੍ਰਮਵਾਰ 23 ਜੁਲਾਈ, 2023 ਅਤੇ 28 ਜੁਲਾਈ, 2023 ਨੂੰ ਦੋਵਾਂ ਕਮਜ਼ੋਰੀਆਂ ਲਈ ਪੈਚ ਜਾਰੀ ਕੀਤੇ। NCSC-NO ਨੇ CVE-2023-35081 ਅਤੇ CVE-2023-35078 ਦੀ ਸੰਭਾਵਿਤ ਕਮਜ਼ੋਰੀ ਚੇਨਿੰਗ ਨੂੰ ਵੀ ਦੇਖਿਆ ਹੈ, ਜੋ ਇੱਕ ਗੁੰਝਲਦਾਰ ਅਤੇ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਨੁਕਸਾਨਦੇਹ ਸਾਈਬਰ ਖਤਰੇ ਨੂੰ ਦਰਸਾਉਂਦਾ ਹੈ।

CVE-2023-35078 ਅਤੇ CVE-2023-35081 ਦੇ ਪਿੱਛੇ ਕੀ ਹੈ?

CVE-2023-35078 Ivanti Endpoint Manager Mobile (EPMM), ਜੋ ਕਿ ਪਹਿਲਾਂ MobileIron Core ਵਜੋਂ ਜਾਣਿਆ ਜਾਂਦਾ ਸੀ, ਲਈ ਇੱਕ ਗੰਭੀਰ ਖਤਰਾ ਪੈਦਾ ਕਰਦਾ ਹੈ, ਕਿਉਂਕਿ ਇਹ ਧਮਕੀ ਦੇਣ ਵਾਲੇ ਅਦਾਕਾਰਾਂ ਨੂੰ ਨਿੱਜੀ ਤੌਰ 'ਤੇ ਪਛਾਣਯੋਗ ਜਾਣਕਾਰੀ (PII) ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਅਤੇ ਸਮਝੌਤਾ ਕੀਤੇ ਸਿਸਟਮਾਂ 'ਤੇ ਸੰਰਚਨਾ ਤਬਦੀਲੀਆਂ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਇਸ ਦੌਰਾਨ, CVE-2023-35081 EPMM ਪ੍ਰਸ਼ਾਸਕ ਦੇ ਨਾਲ ਅਦਾਕਾਰਾਂ ਨੂੰ EPMM ਵੈਬ ਐਪਲੀਕੇਸ਼ਨ ਸਰਵਰ ਦੇ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਨਾਲ ਆਰਬਿਟਰੇਰੀ ਫਾਈਲਾਂ ਲਿਖਣ ਦੀ ਯੋਗਤਾ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। ਧਮਕੀ ਦੇਣ ਵਾਲੇ ਐਕਟਰ EPMM ਪ੍ਰਣਾਲੀਆਂ ਤੱਕ ਸ਼ੁਰੂਆਤੀ, ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਪ੍ਰਾਪਤ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦੇ ਹਨ ਅਤੇ ਇਹਨਾਂ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਇਕੱਠੇ ਜੋੜ ਕੇ ਵੈਬ ਸ਼ੈੱਲ ਵਰਗੀਆਂ ਅੱਪਲੋਡ ਕੀਤੀਆਂ ਫਾਈਲਾਂ ਨੂੰ ਚਲਾ ਸਕਦੇ ਹਨ। ਜਿਵੇਂ ਕਿ ਮੋਬਾਈਲ ਡਿਵਾਈਸ ਮੈਨੇਜਮੈਂਟ (MDM) ਸਿਸਟਮ ਜਿਵੇਂ ਕਿ EPMM ਬਹੁਤ ਸਾਰੇ ਮੋਬਾਈਲ ਡਿਵਾਈਸਾਂ ਤੱਕ ਉੱਚਿਤ ਪਹੁੰਚ ਪ੍ਰਦਾਨ ਕਰਦੇ ਹਨ, ਉਹ ਧਮਕੀ ਦੇਣ ਵਾਲੇ ਅਦਾਕਾਰਾਂ ਲਈ ਆਕਰਸ਼ਕ ਨਿਸ਼ਾਨੇ ਬਣ ਗਏ ਹਨ, ਖਾਸ ਤੌਰ 'ਤੇ ਮੋਬਾਈਲ ਆਇਰਨ ਕਮਜ਼ੋਰੀਆਂ ਦੇ ਪਿਛਲੇ ਕਾਰਨਾਮੇ ਨੂੰ ਧਿਆਨ ਵਿੱਚ ਰੱਖਦੇ ਹੋਏ। ਸਰਕਾਰੀ ਅਤੇ ਨਿੱਜੀ ਖੇਤਰ ਦੇ ਨੈੱਟਵਰਕਾਂ ਵਿੱਚ ਵਿਆਪਕ ਸ਼ੋਸ਼ਣ ਦੀ ਸੰਭਾਵਨਾ ਨੂੰ ਦੇਖਦੇ ਹੋਏ, CISA ਅਤੇ NCSC-NO ਇਹਨਾਂ ਸੁਰੱਖਿਆ ਖਤਰਿਆਂ 'ਤੇ ਗੰਭੀਰ ਚਿੰਤਾ ਪ੍ਰਗਟ ਕਰਦੇ ਹਨ।

ਇਸ ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਸਲਾਹਕਾਰ (CSA) ਵਿੱਚ, NCSC-NO ਸਮਝੌਤਾ (IOCs), ਰਣਨੀਤੀਆਂ, ਤਕਨੀਕਾਂ, ਅਤੇ ਪ੍ਰਕਿਰਿਆਵਾਂ (TTPs) ਦੇ ਸੂਚਕਾਂ ਨੂੰ ਉਹਨਾਂ ਦੀ ਜਾਂਚ ਦੌਰਾਨ ਲੱਭਿਆ ਗਿਆ ਹੈ। CSA ਇੱਕ ਨਿਊਕਲੀ ਟੈਂਪਲੇਟ ਨੂੰ ਸ਼ਾਮਲ ਕਰਦਾ ਹੈ, ਅਣਪਛਾਤੇ ਯੰਤਰਾਂ ਦੀ ਪਛਾਣ ਕਰਨ ਵਿੱਚ ਸਹਾਇਤਾ ਕਰਦਾ ਹੈ, ਅਤੇ ਸੰਗਠਨਾਂ ਨੂੰ ਸਮਝੌਤਾ ਦੇ ਸੰਕੇਤਾਂ ਦੀ ਸਰਗਰਮੀ ਨਾਲ ਖੋਜ ਕਰਨ ਲਈ ਖੋਜ ਮਾਰਗਦਰਸ਼ਨ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। CISA ਅਤੇ NCSC-NO ਖਤਰਨਾਕ ਗਤੀਵਿਧੀ ਦਾ ਪਤਾ ਲਗਾਉਣ ਲਈ ਖੋਜ ਮਾਰਗਦਰਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਰਨ ਲਈ ਸੰਗਠਨਾਂ ਨੂੰ ਜ਼ੋਰਦਾਰ ਉਤਸ਼ਾਹਿਤ ਕਰਦੇ ਹਨ। ਜੇਕਰ ਕਿਸੇ ਸੰਭਾਵੀ ਸਮਝੌਤਾ ਦਾ ਪਤਾ ਲਗਾਇਆ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਸੰਸਥਾਵਾਂ ਨੂੰ CSA ਵਿੱਚ ਦਰਸਾਏ ਗਏ ਘਟਨਾ ਪ੍ਰਤੀਕਿਰਿਆ ਦੀਆਂ ਸਿਫ਼ਾਰਸ਼ਾਂ ਦੀ ਪਾਲਣਾ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ। ਸਮਝੌਤਾ ਦੀ ਅਣਹੋਂਦ ਵਿੱਚ ਵੀ, ਸੰਗਠਨਾਂ ਨੂੰ ਸੁਰੱਖਿਆ ਨੂੰ ਤੁਰੰਤ ਯਕੀਨੀ ਬਣਾਉਣ ਲਈ ਜਾਰੀ ਕੀਤੇ ਪੈਚਾਂ ਨੂੰ ਲਾਗੂ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ।

ਸ਼ੋਸ਼ਣ ਅਪ੍ਰੈਲ 2023 ਤੋਂ ਸਰਗਰਮ ਹੈ

CVE-2023-35078 ਅਪ੍ਰੈਲ 2023 ਤੋਂ APT ਅਦਾਕਾਰਾਂ ਦੁਆਰਾ ਸ਼ੋਸ਼ਣ ਦਾ ਇੱਕ ਅਕਸਰ ਵਿਸ਼ਾ ਰਿਹਾ ਹੈ। ਉਹਨਾਂ ਨੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਨੂੰ ਨਿਸ਼ਾਨਾ ਬਣਾਉਣ ਲਈ ਪ੍ਰੌਕਸੀ ਵਜੋਂ, ASUS ਰਾਊਟਰਾਂ ਸਮੇਤ, ਸਮਝੌਤਾ ਕੀਤੇ SOHO ਰਾਊਟਰਾਂ ਦੀ ਵਰਤੋਂ ਕੀਤੀ। NCSC-NO ਨੇ EPMM ਡਿਵਾਈਸਾਂ ਤੱਕ ਸ਼ੁਰੂਆਤੀ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਇਸ ਕਮਜ਼ੋਰੀ ਦਾ ਲਾਭ ਉਠਾਉਣ ਵਾਲੇ ਅਦਾਕਾਰਾਂ ਨੂੰ ਦੇਖਿਆ। ਇੱਕ ਵਾਰ ਅੰਦਰ ਆਉਣ ਤੋਂ ਬਾਅਦ, ਅਦਾਕਾਰਾਂ ਨੇ ਵੱਖ-ਵੱਖ ਗਤੀਵਿਧੀਆਂ ਕੀਤੀਆਂ, ਜਿਵੇਂ ਕਿ ਐਕਟਿਵ ਡਾਇਰੈਕਟਰੀ ਦੇ ਵਿਰੁੱਧ ਮਨਮਾਨੇ LDAP ਸਵਾਲਾਂ ਨੂੰ ਪ੍ਰਦਰਸ਼ਨ ਕਰਨਾ, LDAP ਅੰਤਮ ਬਿੰਦੂਆਂ ਨੂੰ ਮੁੜ ਪ੍ਰਾਪਤ ਕਰਨਾ, API ਮਾਰਗਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਉਪਭੋਗਤਾਵਾਂ ਅਤੇ ਪ੍ਰਬੰਧਕਾਂ ਨੂੰ ਸੂਚੀਬੱਧ ਕਰਨਾ, ਅਤੇ EPMM ਡਿਵਾਈਸ 'ਤੇ ਸੰਰਚਨਾ ਤਬਦੀਲੀਆਂ ਕਰਨਾ। ਅਦਾਕਾਰਾਂ ਦੁਆਰਾ ਕੀਤੇ ਗਏ ਖਾਸ ਸੰਰਚਨਾ ਤਬਦੀਲੀਆਂ ਅਣਜਾਣ ਰਹਿੰਦੀਆਂ ਹਨ।

APT ਅਦਾਕਾਰਾਂ ਨੇ ਆਪਣੇ ਟਰੈਕਾਂ ਨੂੰ ਕਵਰ ਕਰਨ ਲਈ ਨਿਯਮਿਤ ਤੌਰ 'ਤੇ EPMM ਕੋਰ ਆਡਿਟ ਲੌਗਸ ਦੀ ਜਾਂਚ ਕੀਤੀ ਅਤੇ keywords.txt ਦੇ ਆਧਾਰ 'ਤੇ ਖਤਰਨਾਕ ਟੋਮਕੈਟ ਐਪਲੀਕੇਸ਼ਨ "mi.war" ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਅਪਾਚੇ httpd ਲੌਗਸ ਵਿੱਚ ਉਹਨਾਂ ਦੀਆਂ ਕੁਝ ਐਂਟਰੀਆਂ ਨੂੰ ਮਿਟਾ ਦਿੱਤਾ। "Firefox/107.0" ਵਾਲੇ ਲੌਗ ਐਂਟਰੀਆਂ ਨੂੰ ਮਿਟਾ ਦਿੱਤਾ ਗਿਆ ਸੀ।

EPMM ਨਾਲ ਸੰਚਾਰ ਲਈ, ਅਦਾਕਾਰਾਂ ਨੇ ਲੀਨਕਸ ਅਤੇ ਵਿੰਡੋਜ਼ ਉਪਭੋਗਤਾ ਏਜੰਟਾਂ ਦੀ ਵਰਤੋਂ ਕੀਤੀ, ਮੁੱਖ ਤੌਰ 'ਤੇ ਫਾਇਰਫਾਕਸ/107.0। ਹਾਲਾਂਕਿ ਹੋਰ ਏਜੰਟ ਖੇਡ ਵਿੱਚ ਆਏ, ਉਹਨਾਂ ਨੇ ਡਿਵਾਈਸ ਲੌਗ ਵਿੱਚ ਨਿਸ਼ਾਨ ਨਹੀਂ ਛੱਡੇ। EPMM ਡਿਵਾਈਸ ਤੇ ਸ਼ੈੱਲ ਕਮਾਂਡਾਂ ਨੂੰ ਚਲਾਉਣ ਲਈ ਖ਼ਤਰੇ ਦੇ ਅਦਾਕਾਰਾਂ ਦੁਆਰਾ ਨਿਯੁਕਤ ਕੀਤੇ ਗਏ ਸਹੀ ਢੰਗ ਦੀ ਪੁਸ਼ਟੀ ਨਹੀਂ ਹੋਈ ਹੈ। NCSC-NO ਨੂੰ ਸ਼ੱਕ ਹੈ ਕਿ ਉਹਨਾਂ ਨੇ CVE-2023-35081 ਦਾ ਵੈੱਬ ਸ਼ੈੱਲ ਅੱਪਲੋਡ ਕਰਨ ਅਤੇ ਕਮਾਂਡਾਂ ਨੂੰ ਚਲਾਉਣ ਲਈ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਹੈ।

ਇੰਟਰਨੈਟ ਤੋਂ ਘੱਟੋ-ਘੱਟ ਇੱਕ ਪਹੁੰਚਯੋਗ ਐਕਸਚੇਂਜ ਸਰਵਰ ਤੱਕ ਟ੍ਰੈਫਿਕ ਨੂੰ ਸੁਰੰਗ ਕਰਨ ਲਈ, ਏਪੀਟੀ ਅਦਾਕਾਰਾਂ ਨੇ ਇਵੰਤੀ ਸੈਂਟਰੀ ਨੂੰ ਨਿਯੁਕਤ ਕੀਤਾ, ਇੱਕ ਐਪਲੀਕੇਸ਼ਨ ਗੇਟਵੇ ਉਪਕਰਣ ਜੋ EPMM ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ। ਹਾਲਾਂਕਿ, ਇਸ ਸੁਰੰਗ ਲਈ ਵਰਤੀ ਗਈ ਸਹੀ ਤਕਨੀਕ ਅਣਜਾਣ ਹੈ।

ਇਵਾਂਤੀ EPMM ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨਾ: ਪ੍ਰੌਵਲ 'ਤੇ ਧਮਕੀ ਦੇਣ ਵਾਲੇ ਅਦਾਕਾਰ ਸਕ੍ਰੀਨਸ਼ਾਟ