Hackers no identificados están explotando una vulnerabilidad previamente desconocida que les permite tomar el control total de los dispositivos Cisco expuestos a Internet que ejecutan el software IOS XE de la empresa.
Cisco reveló el error de día cero, que afecta la función de interfaz de usuario web (UI web) del software, en un aviso de seguridad del 16 de octubre y proporcionó antecedentes y orientación adicionales en una publicación del blog de Cisco Talos .
La vulnerabilidad crítica, registrada como CVE-2023-20198, tiene la clasificación de gravedad CVSS v3 más alta posible de 10. Afecta tanto a dispositivos físicos como virtuales que ejecutan IOS XE cuando están expuestos a Internet y tienen habilitada la función de servidor HTTP o HTTPS.
"La explotación exitosa de esta vulnerabilidad permite a un atacante crear una cuenta en el dispositivo afectado con acceso de nivel de privilegio 15 [el nivel más alto posible], otorgándole efectivamente control total del dispositivo comprometido y permitiendo una posible actividad no autorizada posterior", la publicación de Cisco Talos dicho.
La compañía dijo que "recomienda encarecidamente" a los clientes que desactiven la función del servidor HTTP en todos los sistemas conectados a Internet y comprueben si hay actividad maliciosa en forma de usuarios inexplicables o recién creados en sus dispositivos. Aún no hay disponible un parche para el error.
La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) emitió su propia alerta sobre la vulnerabilidad y la agregó al Catálogo de Vulnerabilidades Explotadas Conocidas (KEV), dando a las agencias gubernamentales del Poder Ejecutivo Civil Federal de EE. UU. hasta el 20 de octubre para aplicar mitigaciones.
Actividad de exploit vista por primera vez hace un mes
Cisco Talos dijo que la actividad potencialmente maliciosa relacionada con la vulnerabilidad surgió por primera vez el 28 de septiembre cuando se abrió un caso con el Centro de Asistencia Técnica (TAC) de Cisco que identificó un comportamiento inusual en el dispositivo de un cliente.
"Tras una investigación más exhaustiva, observamos lo que determinamos que es actividad relacionada ya el 18 de septiembre", dijo Cisco Talos en su publicación.
"La actividad incluyó que un usuario autorizado creara una cuenta de usuario local con el nombre de usuario 'cisco_tac_admin' desde una dirección IP sospechosa".
El 12 de octubre, TAC y el equipo de respuesta a incidentes de Cisco Talos observaron un segundo "grupo" de actividad relacionada, incluida la creación de una cuenta de usuario local llamada "cisco_support" por parte de un usuario no autorizado desde una segunda dirección IP sospechosa. La actividad posterior incluyó la implementación de un implante que consta de un archivo de configuración (?cisco_service.conf?).
El archivo de configuración definió un nuevo punto final del servidor web (ruta URI) utilizado para interactuar con el implante, permitiendo al actor de amenazas ejecutar comandos arbitrarios a nivel del sistema o IOS, dijo Cisco Talos.
?Evaluamos que estos grupos de actividades probablemente fueron realizados por el mismo actor. Ambos grupos aparecieron muy juntos, y la actividad de octubre pareció desarrollarse a partir de la actividad de septiembre?, escribieron los investigadores de Cisco Talos.
"El primer grupo fue posiblemente el intento inicial del actor de probar su código, mientras que la actividad de octubre parece mostrar al actor ampliando su operación para incluir el establecimiento de un acceso persistente mediante el despliegue del implante".
Actores de amenazas y errores de infraestructura de red
El vicepresidente de Viakoo Labs, John Gallagher, dijo que la vulnerabilidad parecía estar vinculada a otra vulnerabilidad de Cisco IOS e IOS XE , CVE-2023-20109 , que CISA agregó al catálogo KEV el 10 de octubre .
"Probablemente también haya otras vulnerabilidades en juego aquí, ya que la creación de cuentas maliciosas suele ser parte de una estrategia más amplia", dijo Gallagher.
En abril, Cisco dijo que estaba ?profundamente preocupado? por un aumento en los ataques a la infraestructura de red atribuidos a grupos de espionaje patrocinados por el estado.
El mes pasado, las agencias de seguridad y aplicación de la ley de Estados Unidos y Japón dijeron que el actor de amenazas BlackTech, vinculado a China, se infiltró en las redes corporativas de empresas multinacionales a través de una serie de ataques elaborados que incluían la modificación del firmware del enrutador Cisco.
"Los dispositivos de red siempre han sido un objetivo muy buscado por los actores estatales que desean participar en actividades de espionaje y esta vulnerabilidad [del nuevo IOS XE] le da a esa clase de atacante la herramienta perfecta para comenzar a manipular sutilmente el tráfico de la red", dijo el director de Netenrich. El cazador de amenazas John Bambenek.
Fuente: scmagazine.com