🔍 Contexte

Publié le 3 novembre 2026 par Etugen (etugen.io), cet article présente une analyse technique approfondie d’une opération d’exploitation de vulnérabilités zero-day sur Ivanti Connect Secure, attribuée avec confiance modérée à l’acteur UTA0576. L’analyse part d’un seul indicateur public (une IP déjà retirée) et remonte jusqu’à l’infrastructure active de l’opérateur.

🎯 Vulnérabilités exploitées

La chaîne repose sur trois CVE enchaînées :

  • CVE-2026-104935 : contournement d’authentification par spoofing (via l’en-tête X-DSCGI-PATH)
  • CVE-2026-118527 : upload de fichier authentifié vers un chemin connu
  • CVE-2026-111357 : élévation de privilèges locale authentifiée via dsinvoked

Ces vulnérabilités permettent un accès root non authentifié sur les appliances Ivanti Connect Secure 22.8R2.4, actif depuis le 3 octobre 2026. Les deux dernières ont été ajoutées au KEV de la CISA le 30 octobre 2026.

🕵️ Découverte de l’infrastructure

Etugen a utilisé les chaînes YARA publiées dans l’advisory pour effectuer une recherche de contenu sur ses fichiers crawlés. Tous les hits ont convergé vers 208.85.17[.]99 (Vultr, AS20473), qui exposait un répertoire ouvert sur le port 9999 contenant 7 175 fichiers :

  • /ivanti/exp2.py : framework d’exploitation in-band root
  • /run/ : 168 répertoires de logs d’exploitation horodatés
  • OPERATION_MEMORY.md : fichier mémoire canonique de l’opérateur, rédigé en russe, destiné à un agent IA nommé **“kimi-code”
  • Données volées, clés API (FOFA, SendGrid, Stripe, AWS), archives

📋 Fichier mémoire opérateur

Le fichier OPERATION_MEMORY.md (391 Ko) constitue la découverte la plus significative. Il documente :

  • La rotation complète des proxys VPS : 70.34.215[.]12 → 139.84.235[.]230 → 108.165.147[.]64 → 208.85.17[.]99
  • La boîte locale de l’opérateur : 185.130.227[.]232 avec egress 62.212.70[.]235
  • Des invariants OPSEC rédigés en russe : “Travailler silencieusement et professionnellement, comme APT/NSA”
  • Des avertissements sur d’autres sessions actives sur le même VPS (tmux bubl4444, beacon*, phoenixd)

🔗 Attribution

Le lien entre 208.85.17[.]99 et la chaîne d’exploitation est fort. L’attribution à UTA0576 est modérée pour trois raisons :

  1. La majorité des runs (51/100 échantillonnés) débutent après la publication du rapport public (14 octobre)
  2. Un décalage de dates sur l’usage de 108.165.147[.]64
  3. L’opération est financièrement motivée et multi-vecteurs (IceWarp, MLflow, MinIO, CyberPanel), avec Ivanti comme une cible parmi d’autres

🌐 Autres acteurs identifiés

La recherche sur X-DSCGI-PATH a révélé deux acteurs distincts exploitant le même CVE :

  • 64.94.84[.]170 : poc.py en chinois avec LPE .invoke et push frpc
  • 38.60.227[.]210 : script de test d’upload avec VShell, Mimikatz et Garble

📊 Type d’article

Analyse technique originale produite par la plateforme CTI Etugen, visant à documenter une infrastructure active, enrichir les indicateurs publics existants et fournir des règles de détection exploitables.

🧠 TTPs et IOCs détectés

Acteurs de menace

TTP

  • T1595.002 — Active Scanning: Vulnerability Scanning (Reconnaissance)
  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
  • T1068 — Exploitation for Privilege Escalation (Privilege Escalation)
  • T1070.002 — Indicator Removal: Clear Linux or Mac System Logs (Defense Evasion)
  • T1211 — Exploitation for Defense Evasion (Defense Evasion)
  • T1056 — Input Capture (Credential Access)
  • T1555 — Credentials from Password Stores (Credential Access)
  • T1087.002 — Account Discovery: Domain Account (Discovery)

IOC

  • IPv4 : 208.85.17.99 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 108.165.147.64 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 139.84.235.230 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 70.34.215.12 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 185.130.227.232 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 62.212.70.235 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 64.94.84.170 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 38.60.227.210 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 206.189.66.142 — AbuseIPDB · VT · ThreatFox
  • SHA256 : 7aa9f64e71d7d6dde8a6c0db200dc73a7064ac4adf65bb0f9affd9236351ba0c — VT · MalwareBazaar
  • SHA256 : afc3f9b853243c88bfb5678fd86c4a2985fceffa8554a119fabb793eea2a8bd7 — VT · MalwareBazaar
  • SHA256 : 25b95f47359c327e3a5ae5ac5cd147f8d9afd98092faf136822ee287e25e3dc8 — VT · MalwareBazaar
  • SHA256 : 269a9b9539fa95a0fee5eb8ac5baa38dd350cae0611bd8e535dd8099a9548ffb — VT · MalwareBazaar
  • CVEs : CVE-2026-104935 — NVD · CIRCL
  • CVEs : CVE-2026-118527 — NVD · CIRCL
  • CVEs : CVE-2026-111357 — NVD · CIRCL
  • Fichiers : exp2.py
  • Fichiers : OPERATION_MEMORY.md
  • Fichiers : wild_e14500.py
  • Fichiers : poc.py
  • Fichiers : 4770.eml
  • Fichiers : pack48.7z
  • Fichiers : spray_hits.json
  • Chemins : /home/runtime/tmp/ics-root-run-inband-*.pl
  • Chemins : /home/runtime/tmp/.svc/authwatch.log
  • Chemins : /home/runtime/tmp/.invoke
  • Chemins : /root/opsh
  • Chemins : /root/operationshell
  • Chemins : /ivanti/exp2.py
  • Chemins : /tmp/ml.py
  • Chemins : /tmp/rq5.py
  • Chemins : /data/.icscap/

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 7 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • Cobalt Strike (framework)
  • Sliver (framework)
  • Mythic (framework)
  • AdaptixC2 (framework)
  • Supershell (framework)
  • VShell (rat)
  • Mimikatz (tool)
  • Garble (tool)
  • frpc (tool)
  • exp2.py (other)
  • authwatch (other)

🟢 Indice de vérification factuelle : 77/100 (haute)

  • ⬜ etugen.io — source non référencée (0pts)
  • ✅ 21594 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 32 IOCs dont des hashes (15pts)
  • ✅ 2/6 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, VirusTotal) (12pts)
  • ✅ 9 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : UTA0576 (5pts)
  • ✅ 2/3 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

  • 108.165.147.64 (ip) → AbuseIPDB (46% confiance, 11 signalements) + VT (6/92 détections)
  • 139.84.235.230 (ip) → AbuseIPDB (44% confiance, 17 signalements)

🔗 Source originale : https://etugen.io/blog/ivanti-zero-day-operation/