Exploit for Ivanti-Connect-Secure-Logs-Parser

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-HEXASTRIKE-IVANTI-CONNECT-SECURE-LOGS-PARSER
# Парсер логов Ivanti Secure Connect

Этот репозиторий предоставляет скрипт на Python, предназначенный для преобразования лог-файлов Ivanti Secure Connect `.vc0` в формат CSV для цифровой криминалистики и реагирования на инциденты. В частности, парсер:

  * Извлекает временные метки из логов Ivanti (в первую очередь из файлов `.vc0`).
  * Преобразует эти шестнадцатеричные метки времени в удобочитаемые строки даты/времени.
  * Преобразует записи логов в читаемый CSV.
  * Сопоставляет код сообщения каждого лога с описательным типом сообщения и текстом на основе эталонного CSV-файла.



![Пример использования скрипта](https://assets.kitploit.com/production/public/readmes/36590/7b9f2d326dc56f260e127f7ec70ec1e1e9e48aec17c25c14ec0a2034997f06f9.png)

Инструмент изначально разрабатывался в ходе расследования CVE-2025-0282 (уязвимость удаленного выполнения кода без аутентификации, затрагивающая некоторые устройства Ivanti). Согласно отчетам Mandiant и других компаний, злоумышленники могут удалять или изменять записи логов, чтобы скрыть свою активность. Анализируя эти файлы `.vc0`, исследователи могут легче обнаружить признаки компрометации, необычные удаления или другое подозрительное поведение.

![Удаление записей логов злоумышленником](https://assets.kitploit.com/production/public/readmes/36590/d47bf4f15de33e60e6dfe351b7528d8ca01eb91bdc66ee2dceb89395d0b05165.png)

В ходе нескольких расследований инцидентов с участием Ivanti Secure Connect было обнаружено, что на некоторых устройствах логи были неполными или измененными — на некоторых не было никаких записей вплоть до обнаружения эксплуатации CVE-2025-0282 и перезагрузки устройства. Кроме того, встроенные проверки целостности, которые обычно выполняются каждые два часа, могут быть отключены или изменены злоумышленником. Преобразуя файлы  в более удобный формат CSV, этот инструмент помогает исследователям выявлять аномалии, такие как отсутствующие записи логов, неожиданные попытки аутентификации и возможные признаки манипуляции данными.