Black Hat Europe 2025 | China's Nexus APT Exploiting Ivanti Endpoint Manager Mobile

Ivanti Endpoint Manager是企業級的移動設備管理平台，負責遠程管理員工手機和平板電腦，推送安全策略、管理企業應用、控制郵件和內部服務訪問。一旦被攻陷，攻擊者將獲得對全部員工手機的完整控制權，這是一個極具破壞性的局面。

2025年4月，攻擊者開始利用Ivanti EPM中一個零日漏洞進行大規模攻擊。該漏洞源於一個名為「device future usage」的API功能，攻擊者只需發送一個帶有format參數的簡單GET請求，即可通過Java運行時執行任意Linux命令並獲取執行結果。5月13日Ivanti發布補丁修復了這個漏洞鏈（涉及兩個CVE），5月15日安全研究公司WatchTower Labs公布了概念驗證代碼。

攻擊流程清晰可尋：獲得初始訪問後，攻擊者立即搜索系統目錄。這裡存放著Ivanti的關鍵配置文件，其中包含未加密的MySQL數據庫憑證。這是第一個重大安全缺陷——企業級應用竟然以明文儲存資料庫密碼。攻擊者使用這些憑證登入本地MIFIS數據庫，同時從配置文件中提取Ivanti PMS的加密種子。有了加密種子，他們可以解密MIFIS中所有加密儲存的敏感數據。

MIFIS數據庫包含遠超出預期的信息：不僅有手機元數據和最後已知位置，還有完整的企業LDAP目錄（包括員工名稱、職位、郵箱地址）。更危險的是，若啟用了雲端整合，數據庫中還包含有效的Google Workspace、Salesforce和Office 365訪問令牌。握有這些令牌，攻擊者可以冒充合法用戶登入企業郵箱進行商業郵件妥協攻擊，或訪問SharePoint進行大規模數據竊取。

為了自動化數據竊取，攻擊者部署了批處理腳本，按序執行LDAP配置轉儲、Java和Tomcat進程內存提取（恢復Ivanti儀表板登錄憑證）等操作。隨後他們部署了開源工具FRP以建立反向代理隧道，使受損的Ivanti伺服器成為掃描企業內網、訪問非外部公開應用的中轉站，進行橫向移動。

歸因證據包括：C&C基礎設施部署在中國電信（常被中國APT團體使用）、使用FSCAN等以中文文檔記錄的開源工具、操作中頻繁出現中文字符等習慣特徵，這些共同指向中國相關APT團體。

威脅情報分享的關鍵環節發生在5月30日。Florian Roth指出該漏洞幾乎影響每個與日常生活相關的產業。Eclectic IQ通過互聯網掃描器識別易受攻擊的Ivanti伺服器（產品版本信息通常在HTML中易於發現），建立了包含數千台機器的潛在受害者清單，涵蓋公私部門的關鍵基礎設施。他們立即通知受影響組織和各國主管部門。僅憑這份情報分享，歐洲電信、金融、政府部門等關鍵部門的組織得以及時檢測和遏制已在進行中的入侵。