10月13日資安廠商Ivanti公布及修補已遭利用的Ivanti Connect Secure（ICS）零時差漏洞CVE-2026-104935，同一天美國網路安全與基礎設施安全局（CISA）也表示掌握遭積極利用的證據，呼籲所有ICS用戶儘速清查及鑑識是否遭到入侵，並套用相關更新程式因應。無論是Ivanti還是CISA，都在公告裡提及，用戶應閱讀資安公司Volexity的部落格文章，以了解攻擊者如何將其用於實際攻擊。
Volexity表示，他們在Ivanti揭露漏洞不久之前，看到駭客組織UTA0576使用一系列ICS零時差漏洞利用鏈從事攻擊，該攻擊鏈涵蓋3個不同類型的漏洞，包含身分驗證繞過、遠端程式碼執行（RCE），以及權限提升，最終攻擊者在未通過身分驗證的狀態下，使用root權限執行程式碼。其中的RCE與身分驗證繞過弱點，就是Ivanti揭露的CVE-2026-104935。
UTA0576在成功利用上述漏洞利用鏈後，針對AD憑證與帳密資料，採取一系列活動，包含使用專屬的Kerberos工具從事Kerberoast攻擊、利用自製的Python工具從AD搜尋本機管理員密碼與BitLocker復原金鑰、對DNS進行偵察，以及收集ICS設備的組態配置資料等。為降低被追查的風險，攻擊者還刪除Ivanti設備的除錯紀錄與Linux稽核紀錄，並透過漏洞利用所使用的HTTPS請求傳送命令及接收執行結果，未另外建立C2通訊，或是部署後門與Webshell。由於攻擊痕跡遭到清除，Volexity必須收集設備記憶體、磁碟映像及核心傾印檔進行鑑識，才重建完整的攻擊過程。
