Ivanti đã phát đi cảnh báo quan trọng về lỗ hổng zero-day nghiêm trọng mang định danh CVE-2026-104935, đang bị khai thác trong thực tế trên các thiết bị VPN Connect Secure (ICS). Các chuyên gia tại Volexity là đơn vị đã phát hiện hành vi tấn công này trong quá trình điều tra một sự cố bảo mật của khách hàng.
Nhóm tin tặc đứng sau chiến dịch này, được định danh là UTA0576, đã thực hiện một chuỗi tấn công tinh vi bằng cách kết hợp 3 lỗ hổng zero-day để giành quyền kiểm soát root trên các thiết bị ICS, ngay cả khi thiết bị đó đã được áp dụng đầy đủ các bản vá lỗi hiện có. Lỗ hổng CVE-2026-104935 bao gồm hai khiếm khuyết riêng biệt: một lỗi bỏ qua xác thực và một lỗi thực thi mã từ xa. Để ứng phó, Ivanti đã tung ra các bản cập nhật cho phiên bản ICS 22.8R2.5, 25.1.1.2, 25.1.3.0 và 25.1.3.1. Tuy nhiên, lỗ hổng thứ ba thuộc nhóm leo thang đặc quyền hiện vẫn chưa có bản vá và dự kiến sẽ được xử lý trong vài tuần tới.
Ghi nhận từ Volexity cho thấy hoạt động khai thác bắt đầu từ ngày 3 tháng 10. Mục tiêu chính của UTA0576 bao gồm đánh cắp thông tin đăng nhập tên miền, trích xuất siêu dữ liệu Active Directory, dò quét mạng và can thiệp vào nhật ký hệ thống. Kẻ tấn công đã sử dụng các công cụ tùy chỉnh để tìm kiếm mật khẩu LAPS, khóa khôi phục BitLocker, đồng thời thực hiện các đợt tấn công "password-spraying" và tận dụng công cụ Kerberos để kiểm thử thông tin xác thực.
Mặc dù không phát hiện web shell hay backdoor trên thiết bị, Volexity tin rằng các hành vi này là bước chuẩn bị cho việc di chuyển ngang (lateral movement) và thâm nhập sâu hơn vào mạng lưới doanh nghiệp. Theo đánh giá từ Volexity, nhóm UTA0576 có khả năng cao đã sử dụng các mô hình ngôn ngữ lớn (LLM) để phát triển mã khai thác và thực hiện các hoạt động hậu tấn công. Hiện tại, Volexity nhận định động cơ của nhóm này thiên về tội phạm mạng hơn là hoạt động gián điệp.
