De Amerikaanse overheid waarschuwt organisaties die gebruikmaken van Ivanti VPN-servers om stil te staan bij het 'aanzienlijk risico' die dit met zich kan meebrengen. Uit onderzoek van het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security blijkt dat aanvallers die een Ivanti vpn-server compromitteren een fabrieksreset kunnen overleven, hoewel Ivanti stelt dat dit in een live omgeving niet mogelijk is.

Ivanti Connect Secure, eerder nog bekend als Pulse Secure, is een vpn-oplossing waarmee gebruikers toegang tot het netwerk van hun organisatie kunnen krijgen. De afgelopen maanden zijn meerdere kwetsbaarheden in de oplossing gebruikt voor het compromitteren van vpn-servers en aanvallen van organisaties. Onlangs ontdekte securitybedrijf Mandiant dat aanvallers hadden geprobeerd om de rootkits die ze op besmette servers installeren een fabrieksreset te laten overleven, zodat ze altijd toegang tot het apparaat behouden. Dit is echter nog niet gelukt, aldus de onderzoekers.

Het CISA deed onderzoek en ontdekte dat een aanvaller met root-toegang een fabrieksreset zou kunnen overleven. Dit onderzoek werd gedaan in een niet op internet aangesloten gevirtualiseerd netwerk. Ivanti zegt daarover dat dit niet in een live omgeving zou werken, omdat een aanvaller dan de verbinding zou verliezen. Tijdens onderzoek naar echt gecompromitteerde omgevingen ontdekte het CISA dat aanvallers in staat zijn om de Integrity Checker van Ivanti te omzeilen, waardoor een succesvolle besmetting van het apparaat niet wordt opgemerkt.

Het CISA, de FBI en overheidsdiensten van andere landen roepen alle organisaties op om stil te staan bij het "aanzienlijk risico' dat een gecompromitteerde Ivanti vpn-server met zich meebrengt en dat moet worden overwogen of dergelijke apparaten wel in een zakelijke omgeving moeten worden gebruikt. Organisaties die met Ivanti vpn-servers werken moeten er volgens de diensten vanuit gaan dat alle accounts op de vpn-server zijn gecompromitteerd en het netwerk moet worden doorzocht op de aanwezigheid van aanvallers.