De aanvallers die achter de zeroday-aanval op Ivanti Connect Secure VPN zitten maakten hierbij gebruik van gecompromitteerde Cyberoam VPN-appliances die zich in hetzelfde land als hun slachtoffers bevonden, om zo vermoedelijk detectie te voorkomen. Dat laat securitybedrijf Mandiant weten. Ivanti waarschuwde woensdag voor twee zerodaylekken waardoor aanvallers Ivanti Connect Secure VPN-appliances kunnen overnemen. Deze apparaten stonden eerder nog bekend als Pulse Secure.

Ivanti Connect Secure is een vpn-oplossing waarmee gebruikers toegang tot het netwerk van hun organisatie kunnen krijgen. Via de zeroday-aanval werden er webshells op het vpn-systeem geïnstalleerd, waarmee er toegang tot het gecompromitteerde systeem wordt behouden en verdere aanvallen mogelijk zijn. Daarnaast bleek dat de aanvallers logbestanden op het systeem hadden verwijderd en logging hadden uitgeschakeld.

Volgens Mandiant vinden de aanvallen al sinds december plaats door een vermoedelijk statelijke actor. Het securitybedrijf is bij het onderzoek naar de aanvallen betrokken, net als securitybedrijf Volexity dat eerder al met een analyse van de aanval kwam. Net als Volexity stelt ook Mandiant dat de aanvallers gekaapte Cyberoam VPN-appliances als command & control gebruikten voor het aansturen van gecompromitteerde Ivanti VPN's.

Daarbij meldt Mandiant dat de gekaapte Cyberoam VPN-appliances end-of-life zijn en zich in hetzelfde land bevinden als organisaties die via de Ivanti-kwetsbaarheden werden aangevallen. "Dat heeft de aanvaller waarschijnlijk geholpen om beter detectie te voorkomen", aldus onderzoeker Tyler McLellan. Ivanti heeft een workaround beschikbaar gesteld waarmee organisaties zich kunnen beschermen. Beveiligingsupdates volgen later.