TTPs – CVE- CVE-2023-35078 Tactics, Techniques and Procedures (TTPs) gerelateerd aan handelingen van CVE-2023-35078 zoals waargenomen bij NFIR Watchtower zijn als volgt: Initial Access T1190 - Exploit Public-Facing Application De v2 API is toegankelijk zonder enige authenticatie door de URI-pad te wijzigen. De beschikbare API- documentatie van Ivanti beschrijft dat ‘https://[coreserver]/api/v2/’ de basis-URL is voor alle API-calls. Als er vervolgens een pad toegevoegd wordt aan een kwetsbaar API-endpoint, is het niet langer vereist om authenticatie toe te passen. Een voorbeeld hiervan is: Authenticatie vereist https://[coreserver]/api/v2/ Geen authenticatie vereist https://[coreserver]/vulnerable/path/api/v2/ Op basis van beschikbare log-informatie kan in bepaalde gevallen worden gedetecteerd of er exploitatie (pogingen) geweest zijn, hiervoor dient onderzoek te worden gedaan naar de aanwezige logs.