Comment UTA0576 a exploité trois failles pour contourner les protections

Le groupe UTA0576 a exploité une chaîne de vulnérabilités zero-day dans Ivanti Connect Secure (version 22.8R2.4) pour obtenir un accès root sans authentification, selon The Hacker News et Volexity. Les failles exploitées incluent :

• CVE-2026-104935 : un contournement d’authentification et une exécution de code à distance (RCE), permettant à un attaquant non authentifié d’exécuter des commandes arbitraires. Cette faille a été corrigée dans les versions 22.8R2.5, 25.1.1.2, 25.1.3.0 et 25.1.3.1.
• Une escalade de privilèges vers root, toujours non corrigée à ce jour et prévue pour une mise à jour future selon Ivanti.
• Une faille critique dans Xtraction (CVE-2026-106042) et une autre dans Neurons Patch for Intune (CVE-2026-109412), toutes deux corrigées mais sans exploitation connue.

L’attaque a débuté le 3 octobre 2026, avec une exploitation limitée mais confirmée par le CISA, qui classe l’exploitation de CVE-2026-104935 comme active avec un impact technique total. Les versions non affectées incluent 22.7R2.14 ou antérieures, ainsi que les versions 25.1.3.0 et 25.1.3.1.

UTA0576 a utilisé une URL spécifique (/dana-na/auth/url_default/welcome.cgi) et un en-tête HTTP anormal (X-DSCGI-PATH) pour rester caché, exploitant une faille dans welcome.cgi pour rediriger des requêtes vers des fichiers CGI protégés. La faille RCE exploitait quant à elle wu.cgi en soumettant un script Perl compressé, profitant d’une fenêtre temporelle avant suppression du fichier, comme détaillé par Volexity.

L’exploitation a débuté par une vulnérabilité dans welcome.cgi permettant de rediriger des requêtes vers des fichiers CGI arbitraires protégés par authentification, exploitant une faille critique dans la gestion des requêtes HTTP.

Quels identifiants et données ont été ciblés par l’attaquant

Une fois l’accès obtenu, UTA0576 a volé des identifiants stockés sur l’appliance Ivanti Connect Secure, incluant des métadonnées limitées d’Active Directory, des mots de passe LAPS (Local Administrator Password Solution) et des clés de récupération BitLocker, selon SecurityWeek.

Les attaquants ont utilisé des outils personnalisés pour mener des attaques par spray de mots de passe et des tests Kerberoast via un compte de service Active Directory compromis. Ils ont également collecté des données de configuration de l’appliance, analysé les logs d’authentification pour identifier des noms d’utilisateurs valides, et effectué des scans réseau. Aucun backdoor ou web shell n’a été déployé, les commandes étant exécutées directement via les requêtes HTTPS de la chaîne d’exploitation.

Volexity souligne que l’objectif final des attaquants n’a pas été atteint, mais que leur activité suggérait une préparation pour un mouvement latéral et une compromission plus large du réseau. L’absence de backdoor indique une approche furtive, centrée sur l’exfiltration de données sensibles plutôt que sur la persistance.

Pourquoi l’Integrity Checker d’Ivanti n’a pas détecté l’intrusion

L’outil Integrity Checker d’Ivanti n’a pas pu détecter l’exploitation car celle-ci modifiait uniquement la mémoire volatile et restaurait les données altérées après exécution, comme l’explique The Hacker News. Cette technique, combinée à l’absence de traces persistantes sur le disque, a permis à UTA0576 de rester indétecté jusqu’à ce que Volexity intervienne lors d’une investigation client.

Volexity a reconstruit la chaîne d’exploitation complète en analysant des dumps mémoire et des images disque de l’appareil compromis. L’absence de logs traditionnels ou de fichiers malveillants a rendu la détection difficile, soulignant les limites des outils de sécurité traditionnels face à des attaques zero-day ciblant la mémoire.

Ce que cela change ici : risques pour les entreprises et administrations d’Afrique de l’Ouest

Les entreprises et administrations du Bénin et d’Afrique de l’Ouest utilisant Ivanti Connect Secure dans des versions antérieures à 25.1.3.0 ou 22.8R2.5 pourraient être exposées à des attaques similaires, surtout si elles gèrent des identifiants sensibles stockés sur les appliances VPN. Une exploitation réussie permettrait à un attaquant d’obtenir un accès root sans authentification, de voler des mots de passe Active Directory et de lancer des attaques internes via des techniques comme le spray de mots de passe ou le Kerberoast.

Les organisations utilisant des versions non corrigées (notamment 22.8R2.4) devraient mettre à jour en urgence vers 22.8R2.5 ou migrer vers 25.1.3.0 ou une version ultérieure, comme le recommande Ivanti. Les administrations publiques, les banques et les entreprises critiques dépendant de VPN sécurisés pour leurs échanges internes seraient particulièrement vulnérables, car une compromission pourrait entraîner des fuites de données sensibles ou des mouvements latéraux vers des systèmes internes.

Par ailleurs, l’utilisation d’outils comme LAPS et BitLocker, courants dans les environnements professionnels, pourrait être ciblée si les clés de récupération ou les mots de passe sont stockés sur les appliances Ivanti. Une détection précoce nécessiterait des audits réguliers des logs d’authentification et des scans mémoire, bien que cela reste complexe sans outils spécialisés.

Enfin, les entreprises devraient évaluer leur exposition aux autres produits Ivanti vulnérables, comme Xtraction ou Neurons Patch for Intune, même si aucune exploitation n’a été rapportée pour l’instant.