Ivanti Connect Secure ve DslogdRAT: CVE-2025-0282 Saldırılarında Gözlenen Zararlı Yazılım

JPCERT/CC, Aralık 2024 civarında Japonya’daki kuruluşlara yönelik saldırılarda Ivanti Connect Secure cihazlarına CVE-2025-0282’nin istismar edilmesinin ardından DslogdRAT ve bir Perl web shell gözlendiğini bildirdi. CVE-2025-0282, kimlik doğrulaması gerektirmeyen stack tabanlı bir buffer overflow zafiyetidir ve başarılı istismar uzaktan kod yürütmeye yol açabilir. Ivanti, Connect Secure, Policy Secure ve Neurons for ZTA Gateway ürünleri için güvenlik güncellemeleri yayımlamıştır.

JPCERT analizine göre DslogdRAT, C2 sunucusuyla iletişim kurabilir; dosya yükleme ve indirme, kabuk komutu çalıştırma ve proxy işlevlerini destekler. Aynı sistemde görülen web shell, saldırganların komut çalıştırmasına yardımcı olmuştur. JPCERT, bu saldırıların SPAWN ailesi veya UNC5221 ile aynı kampanyaya ait olup olmadığının bilinmediğini belirtir; bu nedenle aktör eşleştirmesi kesin hüküm olarak değerlendirilmemelidir. CISA’nın RESURGE raporu da CVE-2025-0282’nin Ivanti Connect Secure cihazlarında ilk erişim için kullanıldığını ve ayrı bir malware örneği olan RESURGE’yi açıklar; RESURGE ile DslogdRAT birbirine karıştırılmamalıdır.

Korunma için Ivanti’nin ilgili güvenlik güncellemesi uygulanmalı, Integrity Checker Tool ve diğer bütünlük kontrolleri çalıştırılmalı, cihaz günlükleri ve dış bağlantılar izlenmelidir. Etkilenen bir cihazdan şüpheleniliyorsa üretici danışma metinlerindeki müdahale adımları izlenmeli ve gerekli adli inceleme yapılmalıdır. Uzak erişim cihazları için çok faktörlü kimlik doğrulama, merkezi yama yönetimi ve ağ izleme katmanları birlikte uygulanmalıdır.

Kaynaklar: JPCERT/CC, “DslogdRAT Malware Installed in Ivanti Connect Secure”; Ivanti güvenlik güncellemesi; CISA MAR-25993211-r1.v2; Google Threat Intelligence/Mandiant, Ivanti Connect Secure VPN analizi.

Detaylı bilgi için info@zerosecond.com.tr adresinden uzmanlarımıza başvurabilirsiniz.