Resumo

  • A Ivanti reconhece, em seu próprio artigo de base de conhecimento, que o Integrity Checker Tool é apenas um retrato do estado momentâneo do equipamento e pode não detectar atividade de atacante se o aparelho tiver sido devolvido a um estado limpo, e recomenda redefinir para o padrão de fábrica antes de aplicar o patch.
  • O aviso conjunto AA24-060B vai além: atores de ameaça conseguem enganar tanto o verificador interno quanto o externo, e a pesquisa de laboratório da CISA constatou que a persistência em nível de root é possível mesmo após redefinições de fábrica.

A primeira concessão está no documento operacional do próprio fornecedor, e não é um passo atrás, são dois. Para as vulnerabilidades CVE-2023-46805 e CVE-2024-21887 nos gateways Ivanti Connect Secure e Ivanti Policy Secure, a Ivanti escreveu: “We have seen evidence of threat actors attempting to manipulate Ivanti's internal integrity checker (ICT). Out of an abundance of caution, we are recommending that all customers run the external ICT.” Em bom português: o verificador que roda dentro do equipamento virou alvo, então o instrumento relativamente melhor passa a ser um segundo, executado do lado de fora (artigo da base de conhecimento da Ivanti).

A segunda concessão é mais afiada, porque fala do que o instrumento não consegue fazer, e não do que alguém pode fazer contra ele. “The ICT is a snapshot of the current state of the appliance and cannot necessarily detect threat actor activity if they have returned the appliance to a clean state.” Um retrato do presente não testemunha sobre um passado arrumado. Ler o resultado da varredura como afirmação sobre o histórico da máquina, e não sobre o instante da varredura, é ler errado a ferramenta — e o fornecedor apontou esse erro antes que alguém o apontasse contra ele.

A terceira frase deveria encerrar uma discussão de compra. “Ivanti recommends as a best practice that all customers with a hardware appliance factory reset their appliance before applying the patch to prevent the threat actor from gaining upgrade persistence in your environment.” Quem acredita que patch mais varredura resolvem não manda o cliente apagar o hardware. A receita de redefinir antes de aplicar o patch é exatamente a que se escreve quando se suspeita de alteração numa camada que a inspeção não alcança.

O aviso conjunto diz a mesma coisa do outro lado da mesa, com mais peso. “Of particular concern, the authoring organizations and industry partners have determined that cyber threat actors are able to deceive Ivanti's internal and external Integrity Checker Tool (ICT), resulting in a failure to detect compromise.” Repare no alcance: interno e externo, ambos. O recuo para “o de fora”, proposto no artigo do fornecedor, cabe inteiro na frase em que os signatários falam em enganar (aviso conjunto de cibersegurança AA24-060B).

A frase seguinte fecha o circuito. “In addition, CISA has conducted independent research in a lab environment validating that the Ivanti ICT is not sufficient to detect compromise and that a cyber threat actor may be able to gain root-level persistence despite issuing factory resets.” Persistência em nível de root possível mesmo depois do procedimento que a Ivanti ainda chama de boa prática. Aqui não há duas partes em desacordo: a recomendação do fornecedor é redefinir antes de aplicar o patch, e a constatação do aviso é que a redefinição não basta. A primeira não nega a segunda.

Pior: o motivo de recomendar a redefinição é justamente a percepção de que o resultado da verificação não serve como prova.

A cronologia merece o mesmo cuidado que o instrumento. Segundo o registro do arquivo FedRAMP da General Services Administration (GSA), a Cybersecurity and Infrastructure Security Agency (CISA) do Department of Homeland Security (DHS) emitiu a Emergency Directive 24-01 na sexta-feira, 19 de janeiro de 2024, e a Supplemental Direction v1 na quarta-feira, 31 de janeiro de 2024; a mesma página afirma que a direção suplementar substituiu a required action 4 da diretiva (página da ED 24-01 no arquivo FedRAMP, página da Supplemental Direction v1). O texto da diretiva em si não foi lido: as datas e a substituição vêm do registro de arquivo, e a página da ED 24-01 exibe no cabeçalho a data de 18 de janeiro enquanto o corpo diz 19 de janeiro — este texto adota o corpo. As páginas oficiais da CISA (ED 24-01, Supplemental Direction v1) não puderam ser lidas. Portanto, nada aqui afirma o que esses instrumentos determinaram; ficam apenas as datas e o fato de a required action 4 ter sido substituída. O aviso conjunto é citado pelo identificador AA24-060B, porque não foi possível confirmar uma data de publicação literal. O artigo do fornecedor carrega identificadores de versão que mudam, e nenhuma data de publicação ou revisão é afirmada aqui.

O mecanismo não é de atenção, é de instrumentação. A ferramenta roda no equipamento e relata o sistema de arquivos desse mesmo equipamento. Quando alguém consegue editar, ajustar carimbos de tempo e remontar a partição de runtime, o “nada encontrado” da inspeção passa a ser produzido pelo ambiente que está sendo inspecionado. O controle prático, então, só pode morar aí: a alegação de estado limpo não pode depender apenas do instrumento questionado, e o registro de remediação precisa dizer o que foi reconstruído ou reimplantado, não o que foi varrido.

Para um conselho, sobra uma pergunta só, e ela é dirigida ao fornecedor: qual é a evidência de estado limpo que não passa pelo instrumento sob suspeita?

Este texto não traz contagem de equipamentos, taxa de falsos negativos nem o que qualquer agência fez depois. O que ele entrega é o fato de dois documentos primários terem registrado, com suas próprias palavras, o limite do instrumento que eles mesmos ofereceram — e as datas disso. Um resultado de varredura se parece com a foto de uma sala tirada por uma câmera parafusada dentro da sala. A foto pode estar impecável; o que não está nela, ela não decide.