この攻撃では、正規の Connect Secure コンポーネントを変更して管理者による正規のアップグレードの試行をブロックする「PHASEJAM」という名前のマルウェア ドロッパーが使用されました。
このマルウェアは、UNC5337 として追跡されるアクティビティにリンクされている「SPAWN」と呼ばれるツールキットから悪意のあるコンポーネントをドロップします。
また、システム ログの収集が無効になり、アップグレード プロセスの最後に新しいバージョン番号が表示されます。
Ivanti は、パッチ適用済みバージョン 2.2.7R2.5 を展開する前に工場出荷時設定にリセットすることを顧客に推奨しています。
コメント