# UNC5325
> [!info] Três Clusters - Um Alvo: Ivanti
> O UNC5325 é um dos **três clusters distintos** identificados explorando vulnerabilidades Ivanti em campanhas paralelas: [[unc5221|UNC5221]] (primeiro explorador), UNC5325 (cluster paralelo) e [[unc5337|UNC5337]] (zero-day CVE-2025-0282). Todos com suspeito nexo à China.
## Perfil
**UNC5325** é uma designação da [[sources|Mandiant]] para um cluster de ameaça com suspeita de nexo à República Popular da China (**RPC**). O grupo foi identificado explorando a mesma cadeia de vulnerabilidades que o [[unc5221]] ([[cve-2023-46805|CVE-2023-46805]] + [[cve-2024-21887|CVE-2024-21887]]) no [[connect-secure|Ivanti Connect Secure]], operando em paralelo com outros clusters em campanhas de espionagem contra setores estratégicos.
A [[sources|Mandiant]] rastreou o UNC5325 como ator distinto do [[unc5221]], com ferramentas e infraestrutura diferentes, embora compartilhando o mesmo vetor de acesso inicial.
## Relevância para o Brasil e LATAM
A existência de múltiplos clusters (UNC5221, UNC5325, UNC5337) explorando Ivanti simultaneamente indica que a vulnerabilidade é bem conhecida e amplamente explorada em toda LATAM. Brasil deve assumir que TODAS as instâncias Ivanti Connect Secure estão potencialmente comprometidas - não apenas por um ator, mas por TRÊS clusters paralelos com ferramentas diferentes. Isto complica resposta forense e recuperação. Substituição de appliances Ivanti por alternativas auditadas é recomendação crítica.
## TTPs Principais
O UNC5325, vinculado ao UNC3886 e à campanha Cutting Edge (C0029), explora vulnerabilidades em Ivanti Connect Secure (T1190) incluindo CVE-2023-46805, CVE-2024-21887 e CVE-2024-21893. O grupo trojaniza binários legítimos da Ivanti (T1554) para persistência, desabilita logging e modifica verificações de integridade (T1562.001), e remove indicadores limpando logs (T1070). Coleta configurações e dados de cache dos appliances (T1005), implementa keylogging via JavaScript modificado (T1056.001), utiliza túnel DNS para C2 (T1071.004), e emprega protocolos não-aplicação como Unix sockets e reverse TCP shells (T1095).
## Campanhas
- [[ivanti-connect-secure-exploitation-2024]] - exploração das vulnerabilidades Connect Secure e Policy Secure
**CVEs explorados:** [[cve-2023-46805|CVE-2023-46805]] · [[cve-2024-21887|CVE-2024-21887]]
**Vendors alvejados:** [[_ivanti|Ivanti]] · [[connect-secure|Connect Secure]] · [[policy-secure|Policy Secure]]
**Atores relacionados:** [[unc5221]] · [[unc5337]]
---
*Fonte: [Mandiant - Ivanti Connect Secure VPN Zero-Day Exploitation](https://www.mandiant.com/resources/blog/ivanti-csand-exploitation)*
*Fonte: [CISA Advisory AA24-060B](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-060b)*
## Visão Geral
> Conteúdo a ser adicionado. Use `/cti enrich` para enriquecer esta nota.