随着信息技术的不断发展，企业网络环境面临的安全威胁日益复杂。近期，安全研究人员披露了针对Ivanti Connect Secure（ICS）设备的两个关键零日漏洞，编号为CVE-2025-0282和CVE-2025-22457，攻击者通过这些漏洞植入了MDifyLoader恶意软件，并利用其在内存中加载Cobalt Strike的能力，展开高隐蔽性攻击，造成严重的网络安全隐患。Ivanti Connect Secure是全球广泛应用的远程访问安全网关产品，主要用于构建安全的虚拟专用网络（VPN），确保远程办公环境下的访问安全。然而，其安全漏洞一旦被恶意利用，将可能导致未经授权的远程代码执行，进而影响整个企业网络的安全防护态势。该类攻击从2024年底开始被广泛监测，尤其在2025年初迎来攻击高峰。零日漏洞CVE-2025-0282的危害尤为突出，它允许攻击者无需验证身份即可在目标系统上执行任意代码，极大地降低了攻击门槛。
Ivanti公司于2025年1月发布补丁修复了该漏洞。CVE-2025-22457则是一种基于堆栈的缓冲区溢出问题，能够通过堆栈溢出漏洞实现任意代码执行，2月被修复。未及时更新补丁的设备成为攻击重点。研究表明，MDifyLoader是此次攻击链中的核心负载，它基于开源项目libPeConv开发，能够隐匿地加载并解码嵌入其中的Cobalt Strike信标程序。攻击者通过DLL侧载技术绕过传统防护，将MDifyLoader作为中间组件注入目标系统内存，实现无文件攻击，极大地增加了检测难度。Cobalt Strike是一款合法的红队渗透测试软件，但其信标模块被攻击者广泛滥用，作为内存中攻击的载体，能够实现持久化访问、远程控制及横向渗透。
MDifyLoader解码后的Cobalt Strike信标版本为4.5，是2021年12月发布的稳定版本，显示攻击者选择成熟且稳定的工具以保证攻击有效性。与此攻击相关的还有名为VShell的远程访问工具和基于Go语言开发的网络扫描工具Fscan，两者均被中国境内多个黑客组织采用，成为攻击组合的重要工具。VShell具备检测系统语言环境的功能，攻击者意图利用该特性规避非目标环境的执行。据分析，攻击者初期对不同版本的VShell进行反复测试，推测其语言检测功能未被关闭，导致多次失败，但却展现了高水平的内测行为。入侵网络后，攻击者利用暴力破解手段尝试攻破FTP、MS-SQL及SSH服务器，获取更多凭据，并借助长期知名的EternalBlue SMB漏洞展开横向移动，扩大控制范围。更为隐蔽的是，攻击者会创建新的域账号并将其添加至现有管理组，即使部分凭据被撤销，仍能保持对网络的访问，极大地延长了攻击的存续期。
同时，他们将恶意软件注册为系统服务或计划任务，实现开机自启动或特定事件触发，增强了持久性。此次攻击暴露的问题提示企业必须高度重视系统补丁更新和安全配置管理。及时应用供应商发布的安全补丁，是防御零日漏洞的首要措施。对于使用Ivanti Connect Secure设备的机构，确保运行的是最新版本，有助于规避CVE-2025-0282和CVE-2025-22457带来的风险。除此之外，加强网络内部监控，部署行为检测与异常流量分析工具，可实时发现内存中异常的恶意代码执行行为。由于MDifyLoader等恶意负载采用无文件攻击技术，传统基于文件特征的防护难以应对，融合端点检测与响应（EDR）和内存取证技术成为必要手段。
企业应该限制远程管理接口的访问权限，采用多因素认证，提升远程访问的安全强度。对于已入侵的系统，快速识别新建账户和异常服务，进行彻底的安全评估和清理是关键。此次事件还提醒安全团队需要关注攻击者工具链的演变趋势。基于开源工具的定制化利用成为趋势，工具语言如Go的流行说明攻击者在追求跨平台性能和隐蔽性的同时，更注重开发效率和功能多样化。对安全人员而言，深入理解相关工具的技术细节，有助于制定针对性检测和响应策略。Ivanti官方声明中强调，已发布补丁能完全修复相关漏洞，并呼吁客户保持产品更新以保障安全。
这反映出厂商在漏洞修补环节的积极响应，但也指出用户端未及时更新是安全风险的重要来源。安全意识的提升和运维规范的执行仍然是企业防御链条中不可或缺的一环。综合来看，Ivanti零日漏洞利用攻击展示了现代APT攻击的典型特征：多因素结合、隐蔽性强且持续时间长。MDifyLoader作为中间载体，实现了在内存中加载高危攻击模块的能力，构筑了新一代威胁场景。为抵御类似威胁，企业需要持续投资于补丁管理、威胁情报共享及多层次安全防护。此外，安全运营中心（SOC）需利用威胁猎杀和态势感知能力，主动发现早期入侵迹象，阻止攻击链的进一步延伸。
未来，随着威胁环境的不断演变，零日漏洞和无文件攻击的风险将持续存在。安全生态体系中的厂商、服务提供商及终端用户应携手合作，提高整体攻击防御能力，推动安全技术向自动化、智能化发展，以应对日益严峻的网络安全挑战。
