// CLUBIC — CYBERSECURITY
Des pirates exploitent trois failles dans les VPN Ivanti pour voler des identifiants et cibler les clés BitLocker
Des pirates exploitent des vulnérabilités dans les VPN professionnels d’Ivanti pour accéder aux réseaux internes, tout en effaçant les traces de leurs opérations. Une intrusion que l’outil de vérification d’intégrité de l’éditeur n’a pas détectée.
Nouvelle alerte de sécurité pour les entreprises équipées de VPN Ivanti Connect Secure. L'éditeur a publié, mardi 13 octobre, des correctifs pour deux failles regroupées sous une même référence, déjà exploitées dans des attaques, qui permettent de contourner l'authentification et d'exécuter des commandes à distance. Mais les investigations de Volexity, à l'origine de la découverte, révèlent une menace plus étendue. En combinant ces deux failles avec une troisième vulnérabilité, les attaquants sont parvenus à prendre le contrôle d'un équipement pourtant à jour, avant de s'intéresser aux mots de passe et aux secrets Windows stockés sur le réseau interne.
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
Référencées CVE-2026-104935 (CVSS 8,6), les deux premières vulnérabilités affectent plusieurs versions d'Ivanti Connect Secure, une solution permettant aux salariés de se connecter à distance aux ressources informatiques de leur entreprise. Leur exploitation combinée ne nécessite ni compte utilisateur ni intervention de la victime. Un attaquant peut ainsi exécuter des commandes sur un équipement vulnérable depuis Internet.
Les pirates ont poussé l'exploitation plus loin en combinant trois failles inédites. La première permet de contourner l'authentification, la deuxième d'exécuter du code à distance et la troisième d'élever ses privilèges jusqu'au niveau root, le plus élevé sur le système. De quoi obtenir un contrôle complet de la passerelle VPN et profiter de ses connexions aux services internes de l'entreprise.
Volexity a confirmé que cette méthode était exploitée depuis au moins le 3 octobre par un groupe jusqu'alors inconnu, baptisé UTA0576. Après avoir compromis un VPN, les attaquants ont récupéré des identifiants qui y étaient enregistrés pour interroger Active Directory, l'annuaire Microsoft utilisé pour gérer les comptes et les ressources du réseau.
Leurs recherches visaient des informations particulièrement sensibles, dont les mots de passe d'administration locale gérés par Windows LAPS et les clés de récupération BitLocker, qui permettent de déverrouiller des volumes chiffrés. Les pirates ont également collecté des informations sur les comptes utilisateurs, analysé des captures de trafic LDAP pour tenter d'en extraire des identifiants et testé des mots de passe pour tenter d'étendre leurs accès.
Volexity a confirmé le vol d'identifiants et l'exfiltration de données issues d'Active Directory, sans pouvoir déterminer si des clés BitLocker avaient effectivement été récupérées.
Les chercheurs ont par ailleurs découvert que les attaquants avaient pris des précautions particulières pour masquer leur présence. Aucun logiciel malveillant persistant ni porte dérobée n'a été installé sur le VPN compromis. À la place, les pirates réexploitaient les vulnérabilités à chaque commande, avant d'en récupérer directement le résultat.
Ils ont également manipulé les journaux d'activité et effectué des modifications temporaires en mémoire, qu'ils prenaient soin d'annuler après utilisation. Résultat, l'Integrity Checker Tool, l'outil fourni par Ivanti pour détecter les altérations suspectes de ses équipements, n'a pas identifié l'intrusion. Les chercheurs ont dû analyser la mémoire du système pour reconstituer l'attaque.