Chinesische Hacker nutzen Schwachstellen in Ivanti-Software für globale Angriffe

MÜNCHEN (IT BOLTWISE) – In einer alarmierenden Entwicklung haben chinesische Hacker kürzlich entdeckte Sicherheitslücken in der Ivanti Endpoint Manager Mobile (EPMM) Software ausgenutzt, um Unternehmen weltweit anzugreifen.

Chinesische Hackergruppen haben erneut ihre Fähigkeiten unter Beweis gestellt, indem sie kürzlich entdeckte Schwachstellen in der Ivanti Endpoint Manager Mobile (EPMM) Software ausnutzten. Diese Sicherheitslücken, die als CVE-2025-4427 und CVE-2025-4428 bekannt sind, ermöglichen es Angreifern, ohne Authentifizierung beliebigen Code auf betroffenen Geräten auszuführen. Die Schwachstellen wurden von Ivanti kürzlich behoben, doch die Bedrohung bleibt bestehen, da die Angriffe bereits begonnen haben.

Die Sicherheitslücken wurden von der chinesischen Cyber-Espionage-Gruppe UNC5221 ausgenutzt, die seit mindestens 2023 für Angriffe auf Netzwerkgeräte bekannt ist. Diese Gruppe hat sich auf die Ausnutzung von Schwachstellen in Edge-Netzwerkgeräten spezialisiert und zeigt ein tiefes Verständnis für die interne Architektur von EPMM. Durch die Nutzung legitimer Systemkomponenten gelingt es ihnen, Daten unbemerkt zu exfiltrieren.

Besonders besorgniserregend ist die Tatsache, dass die Angriffe auf eine Vielzahl von Sektoren abzielen, darunter Gesundheitswesen, Telekommunikation, Luftfahrt, kommunale Verwaltungen, Finanzwesen und Verteidigung. Die Angreifer nutzen eine Schwachstellenkette, um über den Endpoint “/mifs/rs/api/v2/” eine interaktive Reverse-Shell zu erhalten und beliebige Befehle auszuführen. Anschließend wird der KrustyLoader, ein Rust-basierter Loader, eingesetzt, um weitere Schadsoftware wie Sliver zu verbreiten.

Die Angreifer haben auch die mifs-Datenbank ins Visier genommen, indem sie hartcodierte MySQL-Datenbankanmeldedaten verwenden, die in “/mi/files/system/.mifpp” gespeichert sind. Dies ermöglicht ihnen den unbefugten Zugriff auf die Datenbank und die Exfiltration sensibler Daten, die Einblicke in verwaltete mobile Geräte, LDAP-Benutzer und Office 365-Tokens gewähren.

Ein weiteres Merkmal dieser Angriffe ist die Verwendung verschleierter Shell-Befehle zur Erkundung des Hosts, bevor der KrustyLoader aus einem AWS S3-Bucket heruntergeladen wird. Zudem wird Fast Reverse Proxy (FRP) eingesetzt, um die Netzwerkerkundung und laterale Bewegungen zu erleichtern. FRP ist ein Open-Source-Tool, das häufig von chinesischen Hackergruppen genutzt wird.

Ein von EclecticIQ identifizierter Command-and-Control-Server, der mit Auto-Color, einem Linux-Backdoor, in Verbindung steht, wurde ebenfalls in diesen Angriffen verwendet. Diese Infrastruktur wurde zuvor in Angriffen auf Universitäten und Regierungsorganisationen in Nordamerika und Asien eingesetzt. Die IP-Adresse 146.70.87[.]67:45020 wurde unmittelbar nach der Ausnutzung der Ivanti EPMM-Server für ausgehende Verbindungstests verwendet.

Diese Vorfälle verdeutlichen die anhaltende Bedrohung durch chinesische Hackergruppen und die Notwendigkeit, Sicherheitsmaßnahmen zu verstärken. Branchenexperten betonen, dass die Beobachtung von Scanning-Aktivitäten oft ein Vorbote für das Auftreten von Zero-Day-Schwachstellen ist. Unternehmen sollten daher ihre Systeme regelmäßig auf Schwachstellen überprüfen und Sicherheitsupdates zeitnah einspielen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!