Всплеск атак на Ivanti Connect Secure: CVE-2025-0282 эксплузируется

Разведывательные активности, нацеленные на уязвимость в Ivanti Connect Secure, резко участились: по данным GreyNoise, с 21 по 28 января зафиксировано 100-кратное увеличение числа проверок на наличие уязвимости CVE-2025-0282. Эксперты отмечают две параллельные кампании с различными методами и инфраструктурой, что увеличивает риск успешной эксплуатации для организаций с внешне доступными инстансами Ivanti.

Что произошло

Анализ активности выявил два отличающихся по подходу набора действий:

• Первая кампания, связанная с кластером AS213790, проявляла активное сканирование преимущественно из Румынии и Молдовы — более 34 000 сеансов.
• Вторая кампания использовала более скрытный, распределённый подход: ботнеты на скомпрометированных хостах, использование residential proxy и распределение запросов через несколько облачных провайдеров для снижения вероятности обнаружения.

Операционные признаки указывают либо на одного актора, применяющего разные инструменты, либо на одновременное действие нескольких конкурирующих групп, знающих о уязвимости.

Цель атак и технические особенности

Объектом сканирования и атак является конкретная конечная точка: /dana-na/auth/url_default/welcome.cgi, напрямую связанная с уязвимостью CVE-2025-0282. Показатель EPSS для этой уязвимости составляет 93,05%, что отражает крайне высокую вероятность её использования злоумышленниками.

Для сравнения: связанная уязвимость CVE-2025-0283 имеет существенно более низкий показатель EPSS — 0,18%, и в настоящий момент не демонстрирует аналогичной степени эксплуатации.

По данным GreyNoise, за неделю наблюдался «100-кратный всплеск» проверок на наличие CVE-2025-0282.

Оценка риска

Высокий EPSS и активность нескольких кампаний указывают на реальную и неминуемую угрозу для организаций с внешне доступными инстансами Ivanti Connect Secure. Использование residential proxy и распределённые облачные развертывания затрудняют обнаружение и блокировку атак средствами, ориентированными только на простое IP-блокирование.

Рекомендации для защитников

Организациям рекомендуется незамедлительно принять следующие меры:

• Применить официальные патчи и обновления для Ivanti Connect Secure, закрывающие CVE-2025-0282.
• Провести целевую проверку журналов (logs) на предмет попыток доступа к /dana-na/auth/url_default/welcome.cgi и других аномальных запросов.
• Пересмотреть экспозицию сети: инвентаризировать все публично доступные инстансы Ivanti и при необходимости временно ограничить доступ по сети (VPN, firewall, IP allowlists).
• Внедрить или усилить мониторинг внешних запросов и корреляцию событий SIEM для быстрой детекции попыток эксплуатации.
• Блокировать выявленные indicators of compromise и подозрительные адреса/подсети, с учётом того, что злоумышленники применяют residential proxy и мультиоблачные ресурсы.
• Обновить сигнатуры IDS/IPS, WAF и правил корреляции под описанный вектор атаки.
• При подозрениях на компрометацию — изолировать пострадавшие хосты и провести форензик-расследование.

Вывод

Рост активности по CVE-2025-0282, высокий показатель EPSS и параллельные кампании с разной тактикой делают эксплуатацию этой уязвимости практически неизбежной для необновлённых систем. Организациям следует действовать немедленно: установить патчи, усилить мониторинг и пересмотреть доступность Ivanti-инстансов в интернете, чтобы минимизировать риск успешной атаки.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.

Оригинал публикации на сайте CISOCLUB: "Всплеск атак на Ivanti Connect Secure: CVE-2025-0282 эксплузируется".

Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.

Подписывайтесь на нас: MAX | VK | Rutube | Telegram | Дзен | YouTube.