Chinesische Hacker nutzen Schwachstelle in Ivanti EPMM für Angriffe auf Regierungsbehörden

LONDON (IT BOLTWISE) – Eine kürzlich entdeckte Sicherheitslücke in Ivanti Endpoint Manager Mobile (EPMM) hat es chinesischen Hackern ermöglicht, weltweit hochkarätige Organisationen zu kompromittieren.

Eine schwerwiegende Sicherheitslücke in Ivanti Endpoint Manager Mobile (EPMM) wurde von chinesischen Hackern ausgenutzt, um weltweit hochkarätige Organisationen zu kompromittieren. Die Schwachstelle, bekannt als CVE-2025-4428, ermöglicht es Angreifern, über speziell gestaltete API-Anfragen Code aus der Ferne auf Ivanti EPMM Version 12.5.0.0 und früher auszuführen. Ivanti hat diese Schwachstelle zusammen mit einer weiteren, CVE-2025-4427, am 13. Mai 2025 offengelegt und beide gepatcht. Dennoch wurden die Schwachstellen bereits zuvor gegen eine sehr begrenzte Anzahl von Kunden ausgenutzt.

Der Forscher Arda Büyükkaya von EclecticIQ berichtete, dass CVE-2025-4428 seit dem 15. Mai intensiv in der freien Wildbahn ausgenutzt wird, und ordnete diese Aktivitäten mit hoher Zuverlässigkeit der UNC5221-Aktivitätsgruppe zu. Diese Gruppe ist bekannt dafür, regelmäßig Zero-Day-Schwachstellen in Ivanti-Produkten auszunutzen, wie beispielsweise Connect Secure im Januar und erneut im April 2025.

Die jüngsten Angriffe zielten auf eine Vielzahl von Organisationen, darunter das britische Gesundheitssystem, ein nordamerikanischer Gesundheitsdienstleister, ein US-amerikanischer Hersteller von Medizinprodukten, kommunale Behörden in Skandinavien und Großbritannien, ein deutsches Forschungsinstitut, ein deutsches Telekommunikationsunternehmen und seine IT-Tochtergesellschaften, ein US-amerikanisches Cybersicherheitsunternehmen, ein großer US-amerikanischer Lebensmitteldistributor, ein irisches Luftfahrtleasingunternehmen, ein deutscher Industriekonzern, ein japanischer Automobilzulieferer, ein US-amerikanischer Waffenhersteller und eine südkoreanische Bank.

Die Angreifer führten Host-Erkundungen durch, indem sie Systembefehle ausführten, um Details über das Gerät, die Benutzer, das Netzwerk und die Konfigurationsdateien zu sammeln, bevor sie die KrystyLoader-Nutzlast von einem kompromittierten AWS S3-Bucket ablegten. Die Ausgabe dieser Befehle wurde vorübergehend als getarnte .JPG-Dateien in einem webzugänglichen Verzeichnis gespeichert und dann sofort gelöscht, um eine Erkennung zu vermeiden. Dies deutet auf eine Echtzeit-Datenexfiltration hin, wahrscheinlich über HTTP-GET-Anfragen, gefolgt von einer Bereinigung der Artefakte.

Der Bericht von EclecticIQ weist auch darauf hin, dass die neuesten Angriffe von UNC5221 Verbindungen zum Linux-Backdoor ‘Auto-Color’ aufweisen, die erstmals von Palo Alto Networks’ Unit 42 im Februar gemeldet wurden, jedoch ohne klare Zuordnung zu diesem Zeitpunkt. Diese Angriffe verdeutlichen, dass chinesische Spionagegruppen weiterhin Netzwerk-Perimeter-Geräte für den ersten Zugriff auf Zielorganisationen ins Visier nehmen.

Die Ausnutzung, die EclecticIQ beobachtete, begann zwei Tage nach der öffentlichen Offenlegung, was die Dringlichkeit unterstreicht, Sicherheitsupdates so schnell wie möglich anzuwenden. Basierend auf einer Analyse von 14 Millionen bösartigen Aktionen wurden die Top-10-MITRE-ATT&CK-Techniken identifiziert, die hinter 93 % der Angriffe stehen, und es wird gezeigt, wie man sich gegen sie verteidigen kann.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!