Resumen

  • El artículo de base de conocimientos de Ivanti reconoce que su Integrity Checker Tool es una instantánea del estado actual y que no puede necesariamente detectar la actividad de un atacante si este devolvió el equipo a un estado limpio; el proveedor recomienda un restablecimiento de fábrica antes de aplicar el parche.
  • El aviso conjunto AA24-060B va más lejos: los atacantes pueden engañar tanto la herramienta interna como la externa, y la investigación de laboratorio de la CISA concluyó que la persistencia a nivel de raíz era posible pese a los restablecimientos de fábrica.

La primera concesión aparece como una escalada dentro de las propias instrucciones del proveedor. «We have seen evidence of threat actors attempting to manipulate Ivanti's internal integrity checker (ICT). Out of an abundance of caution, we are recommending that all customers run the external ICT.» Dicho sin adornos: Ivanti avisa a sus clientes de que el verificador que vive dentro del equipo se convirtió en un objetivo, y de que un segundo verificador, externo, es ahora el instrumento más seguro (artículo de base de conocimientos de Ivanti).

La segunda concesión es más filosa, porque describe lo que el instrumento no sabe hacer y no lo que un adversario podría hacerle. «The ICT is a snapshot of the current state of the appliance and cannot necessarily detect threat actor activity if they have returned the appliance to a clean state.» Una instantánea del presente no puede atestiguar sobre un pasado que fue ordenado. Quien haya leído el resultado de un escaneo como una afirmación sobre la historia del equipo, y no sobre el instante del escaneo, leyó mal la herramienta; el proveedor lo dice sin ambigüedad.

La tercera debería haber cerrado una discusión de compra. «Ivanti recommends as a best practice that all customers with a hardware appliance factory reset their appliance before applying the patch to prevent the threat actor from gaining upgrade persistence in your environment.» Un proveedor no pide a sus clientes que borren el equipo antes de parchearlo si cree que un parche y una comprobación bastan. El restablecimiento previo al parche es lo que se receta cuando se sospecha que la máquina fue alterada en un nivel que la comprobación no alcanza a ver.

El aviso conjunto dice lo mismo desde el otro lado de la mesa, y lo dice con más dureza. «Of particular concern, the authoring organizations and industry partners have determined that cyber threat actors are able to deceive Ivanti's internal and external Integrity Checker Tool (ICT), resulting in a failure to detect compromise.» Nótese el alcance: interna y externa. La mejora que el proveedor ofrecía en su propio artículo queda dentro de la frase que las organizaciones firmantes dedican al engaño (aviso conjunto de ciberseguridad AA24-060B).

Viene después el hallazgo que cierra el círculo. «In addition, CISA has conducted independent research in a lab environment validating that the Ivanti ICT is not sufficient to detect compromise and that a cyber threat actor may be able to gain root-level persistence despite issuing factory resets.» El mismo aviso sostiene las dos mitades de la contradicción: una buena práctica del proveedor construida sobre el restablecimiento de fábrica, y una investigación de laboratorio de una agencia que informa que la persistencia a nivel de raíz puede sobrevivir a ese restablecimiento.

No es una disputa entre un crítico y una empresa. Es un desacuerdo entre dos partes que querían que la misma remediación funcionara. A Ivanti le convenía mantener a sus clientes en sus pasarelas y que parchearan sin exigir la reconstrucción de cada equipo. A las organizaciones firmantes les convenía detener una campaña de intrusión. Coincidieron en la misma admisión —un resultado negativo de una herramienta que corre dentro del equipo no prueba que el equipo esté limpio— y luego se separaron en la durabilidad del restablecimiento que el proveedor recomienda.

Esa divergencia es la parte utilizable. Un restablecimiento de fábrica es la afirmación de que el estado de la máquina fue reemplazado. Una investigación de laboratorio que encuentra persistencia pese a los restablecimientos impugna directamente esa afirmación, y no requiere suponer mala fe del proveedor: basta con que el restablecimiento no llegue al estrato donde se aloja el atacante. El cliente que trata el restablecimiento previo al parche como el final del asunto hereda un supuesto que una agencia coautora se negó públicamente a compartir.

Los instrumentos fechados sitúan el escenario de ese supuesto. La Directiva de Emergencia 24-01, titulada «Mitigate Ivanti Connect Secure and Ivanti Policy Secure Vulnerabilities», se emitió el viernes 19 de enero de 2024, según el archivo de FedRAMP del anuncio de la directiva que mantiene la General Services Administration; esa página de archivo muestra un encabezado fechado el 18 de enero de 2024 mientras su cuerpo indica el 19 de enero de 2024, y este briefing usa la mención del cuerpo (archivo de FedRAMP, ED 24-01). La Supplemental Direction v1 llegó el miércoles 31 de enero de 2024, y el mismo archivo señala que esa dirección suplementaria sustituyó la acción requerida número 4 de la directiva (archivo de FedRAMP, Supplemental Direction v1).

La acción requerida número 4 fue sustituida doce días después de emitirse la directiva. La directiva y la dirección suplementaria se publican en las direcciones propias de la CISA (ED 24-01, Supplemental Direction v1), pero su texto operativo no era legible en las fuentes consultadas para este briefing: ambas páginas de la CISA devolvieron errores de acceso a la recuperación empleada aquí. Este artículo no afirma, por tanto, nada sobre lo que esos instrumentos ordenaban, ni sobre la naturaleza de la acción sustituida más allá de la mención del archivo de que la cuarta fue reemplazada. Lo que sí afirma es que la sustitución existió y que los dos documentos de primera mano citados arriba explican mejor que cualquier resumen de directiva por qué un paso de verificación puede fallar su propio propósito.

Para un consejo de administración o un equipo de compras, la consecuencia operativa es estrecha y sobrevive al texto ilegible. No exija que el escaneo de un proveedor sea correcto; el propio proveedor ya le dijo qué no ve. Exija que la afirmación de estado limpio no dependa solo del instrumento cuestionado, y exija que las afirmaciones de remediación nombren qué se reconstruyó o se reimplantó en lugar de qué se escaneó. Un equipo reconstruido tiene un estado que alguien puede describir. Un equipo escaneado tiene un resultado que se le pidió a un entorno comprometido.

Lo que este briefing no establece es igual de concreto. Nada aquí informa cuántos equipos fueron comprometidos, cuántos escaneos devolvieron falsos negativos, ni qué hizo una agencia con nombre propio después del 31 de enero de 2024. El aviso conjunto se cita por su identificador porque la lectura conservada no incluía una fecha de publicación literal, y el artículo del proveedor no lleva fecha porque arrastra identificadores de versión que cambian y aquí no se afirma ninguna fecha de publicación o revisión. Son huecos de este expediente, no prueba de que los hechos subyacentes falten en otra parte.

Queda una frase que un proveedor escribió sobre su propia herramienta, un párrafo que dos gobiernos y sus socios escribieron sobre la misma herramienta, y un paso de remediación que uno llama buena práctica y el otro dice superable. Leídos juntos, resuelven la única pregunta que importa al firmar el contrato: a quién pertenece la prueba. La respuesta no puede ser el propio equipo.