RESURGE: el malware que duerme en tu Ivanti hasta que decides buscarlo
¿Cómo un malware puede estar "dormido" en tu infraestructura?
RESURGE no es tu malware típico que beaconea constantemente al C2. Es un implant pasivo que puede estar latente indefinidamente en dispositivos Ivanti Connect Secure, esperando pacientemente una conexión TLS específica del atacante.
CISA acaba de actualizar su análisis técnico del malware, revelando detalles preocupantes: RESURGE utiliza técnicas sofisticadas de evasión a nivel de red y un sistema de autenticación que le permite ocultarse como tráfico legítimo de Ivanti.
La mecánica del camuflaje perfecto
El implant se carga bajo el proceso 'web' y hookea la función 'accept()' para inspeccionar paquetes TLS entrantes antes de que lleguen al servidor web. Usa un esquema de hashing CRC32 para identificar fingerprints específicos del atacante.
Si el fingerprint no coincide, el tráfico se dirige al servidor Ivanti legítimo. Pero aquí está el truco: el atacante también usa un certificado Ivanti falso para autenticación. No es para cifrar comunicación, sino para verificar que están hablando con RESURGE y no con el servidor real.
Una vez validado, establecen una sesión Mutual TLS encriptada con protocolo Elliptic Curve. Para cualquier monitor de red, parece tráfico TLS/SSH completamente legítimo.
El alcance real del problema
RESURGE puede sobrevivir reinicios, crear webshells para robar credenciales, crear cuentas, resetear passwords y escalar privilegios. Pero lo más preocupante es su capacidad de manipular firmware coreboot y contenidos de filesystem para persistencia a nivel de boot.
El malware incluye variantes como SpawnSloth (liblogblock.so) para tampering de logs y dsmain, un script que embeds extract_vmlinux.sh y utilidades BusyBox para manipular imágenes de firmware.
¿Dónde encaja esto en tu stack de seguridad?
Si tienes Ivanti Connect Secure en tu infraestructura, necesitas asumir compromiso hasta probar lo contrario. Los IoCs de CISA incluyen los hashes específicos de los archivos maliciosos, pero el certificado falso enviado sin cifrar puede servir como signature de red.
Para equipos de IR: este caso demuestra por qué el monitoring pasivo de red no es suficiente contra implants sofisticados. RESURGE puede estar durmiendo en tu perímetro, esperando órdenes que pueden llegar meses después de la infección inicial.
La lección más dura: los atacantes chinos detrás de UNC5221 explotaron CVE-2025-0282 como zero-day desde diciembre 2024. La ventana entre compromiso inicial y detección puede ser enorme con este tipo de malware latente.
Fuente original: BleepingComputer
