🗓️ Contexte

L’article, publié le 14 octobre 2026 sur cryptika.com (source originale : cybersecuritynews.com), rapporte une campagne d’exploitation active de trois vulnérabilités zero-day dans Ivanti Connect Secure VPN, découverte par la société Volexity lors d’une investigation chez un client. L’activité a débuté le 3 octobre 2026 et ciblait une appliance entièrement à jour sous la version 22.8R2.4.

🎯 Acteur et objectifs

Volexity attribue l’activité à un acteur jusqu’alors inconnu, désigné UTA0576. L’objectif principal observé est la collecte de données d’authentification sensibles :

  • Mots de passe de comptes Active Directory
  • Mots de passe LAPS (Local Administrator Password Solution)
  • Clés de récupération BitLocker
  • Hachages NTLM (via capture réseau)
  • Identifiants HTTP Basic Authentication et LDAP
  • Noms d’utilisateurs valides extraits des journaux d’authentification

🔗 Chaîne d’exploitation

Les trois failles ont été chaînées de la manière suivante :

  1. Contournement d’authentification (CVE-2026-104935) : manipulation du header HTTP X-DSCGI-PATH pour rediriger une requête vers un script protégé (wu.cgi).
  2. Écriture de fichier (CVE-2026-104935, même CVE) : abus du gestionnaire d’upload pour déposer temporairement un script sous /home/runtime/tmp/, exécuté avant suppression via des requêtes répétées rapides.
  3. Élévation de privilèges (faille distincte, non encore corrigée) : exploitation du service dsinvoked pour obtenir un accès root via modification en mémoire de la configuration, sans laisser de trace persistante sur disque.

🕵️ Techniques post-exploitation

  • Requêtes LDAP vers un contrôleur de domaine via le compte de service AD de l’appliance VPN
  • Password spraying contre des comptes Active Directory
  • Capture de trafic réseau via un outil renommé dsstatmond (exécuté depuis /data/.icscap/)
  • Suppression sélective d’entrées dans les journaux debug Ivanti et les journaux d’audit Linux
  • Toutes les commandes transitaient via le canal HTTPS d’exploitation (pas de web shell ni de backdoor persistante)

⚠️ Détection et forensique

L’absence de web shell et les modifications uniquement en mémoire (restaurées après exploitation) rendent l’activité difficile à détecter. L’Integrity Checker Tool d’Ivanti peut ne pas signaler de compromission. Une investigation mémoire et réseau est nécessaire.

📋 Type d’article

Il s’agit d’une analyse technique d’incident basée sur le rapport de Volexity, visant à documenter la chaîne d’exploitation, les techniques post-compromission et les indicateurs associés à la campagne UTA0576.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • UTA0576 (unknown) —

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1068 — Exploitation for Privilege Escalation (Privilege Escalation)
  • T1110.003 — Password Spraying (Credential Access)
  • T1003 — OS Credential Dumping (Credential Access)
  • T1040 — Network Sniffing (Credential Access)
  • T1018 — Remote System Discovery (Discovery)
  • T1087 — Account Discovery (Discovery)
  • T1070.001 — Clear Windows Event Logs (Defense Evasion)
  • T1036 — Masquerading (Defense Evasion)
  • T1557 — Adversary-in-the-Middle (Credential Access)
  • T1071.001 — Web Protocols (Command and Control)
  • T1552.001 — Credentials In Files (Credential Access)
  • T1078 — Valid Accounts (Defense Evasion)

IOC

  • IPv4 : 108.165.147.64 — AbuseIPDB · VT · ThreatFox
  • CVEs : CVE-2026-104935 — NVD · CIRCL
  • Fichiers : h.py
  • Fichiers : ml.py
  • Fichiers : rq5.py
  • Fichiers : mk.py
  • Fichiers : rr.py
  • Fichiers : sp_out.txt
  • Fichiers : spray_hits.json
  • Chemins : /data/.icscap/h.py
  • Chemins : /tmp/ml.py
  • Chemins : /tmp/rq5.py
  • Chemins : /tmp/mk.py
  • Chemins : /tmp/rr.py
  • Chemins : /tmp/sp_out.txt
  • Chemins : /tmp/spray_hits.json
  • Chemins : /dana-na/auth/url_default/welcome.cgi
  • Chemins : /home/webserver/htdocs/dana/fb/smb/wu.cgi

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 14 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • dsstatmond (tool)
  • h.py (tool)
  • ml.py (tool)
  • mk.py (tool)

🟢 Indice de vérification factuelle : 88/100 (haute)

  • ✅ cryptika.com — source reconnue (Rösti community) (20pts)
  • ✅ 6607 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 18 IOCs (IPs/domaines/CVEs) (10pts)
  • ✅ 1/1 IOC(s) confirmé(s) (AbuseIPDB, ThreatFox, VirusTotal) (8pts)
  • ✅ 13 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : UTA0576 (5pts)
  • ✅ 1/1 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

  • 108.165.147.64 (ip) → AbuseIPDB (46% confiance, 11 signalements) + VT (6/92 détections)

🔗 Source originale : https://www.cryptika.com/ivanti-connect-secure-0-days-exploited-to-steal-active-directory-credentials/