Cisco odkryło drugą aktywnie wykorzystywaną lukę typu „zero-day” w systemie IOS XE. Informacja ta pojawiła się w momencie, gdy liczba zainfekowanych urządzeń znacząco spadła.

Autor: 3 min czytania

W zeszłym tygodniu gigant branży sieciowej ostrzegł swoich klientów, że cyberprzestępcy wykorzystują lukę typu „zero-day” co najmniej od połowy września. Krytyczna podatność, oznaczona jako CVE-2023-20198, dotyczy interfejsu sieciowego systemu IOS XE i może zostać wykorzystana przez zdalnych, nieuwierzytelnionych atakujących do tworzenia kont z wysokimi uprawnieniami na urządzeniach Cisco.

Po utworzeniu nowych kont i uzyskaniu uprawnień administratora (root) w systemie, napastnicy instalowali implant oparty na języku Lua, umożliwiający wykonywanie dowolnych poleceń.

Początkowo Cisco informowało, że do wdrożenia implantu atakujący wykorzystywali starszą lukę typu „command injection” w systemie IOS XE (oznaczoną jako CVE-2021-1435). Potem zauważono jednak, że ataki dotyczyły również systemów, w których podatność została już załatana, co sugerowało istnienie kolejnej luki typu „zero-day”.

Ostatecznie Cisco potwierdziło, że do dostarczenia implantu wykorzystano drugi zero-day, oznaczony jako CVE-2023-20273.

„Atakujący najpierw wykorzystywali lukę CVE-2019-20198, aby uzyskać wstępny dostęp, a następnie – używając polecenia o poziomie uprawnień 15 – tworzyli lokalnego użytkownika wraz z hasłem. Pozwalało to na zalogowanie się do systemu” – wyjaśniła firma w komunikacie. „Następnie atakujący wykorzystywali inny element interfejsu sieciowego, aby – korzystając z nowo utworzonego konta – podnieść swoje uprawnienia do poziomu administratora (root) i zapisać implant w systemie plików”.

Cisco poinformowało również, że luka CVE-2021-1435 prawdopodobnie nie jest powiązana z tymi atakami.

W momencie pierwszego ujawnienia ataków producent udostępnił jedynie zalecenia dotyczące ograniczenia ryzyka, jednak na ten moment wydane są już poprawki dla obu podatności. Mimo to, oprócz zainstalowania łatek, organizacje muszą podjąć dodatkowe kroki w celu oczyszczenia swoich systemów. Wiele firm zajmujących się cyberbezpieczeństwem prowadziło skanowanie internetu w poszukiwaniu systemów przejętych w ramach tej kampanii. W pewnym momencie zidentyfikowano ponad 40 000 zainfekowanych przełączników i routerów firmy Cisco, a niektóre analizy wskazywały nawet na 53 000 takich urządzeń.

Obecnie obserwuje się wyraźny spadek liczby zainfekowanych urządzeń – fundacja Shadowserver wykryła tzw. tylną furtkę (backdoor) już tylko w 100 systemach.

Eksperci z CERT Orange Cyberdefense przypuszczają, że atakujący mogą próbować ukryć złośliwy implant. Ostrzegają również, że wciąż może istnieć wiele przejętych urządzeń, nawet jeśli nie są one już wykrywane podczas skanowania.

Warto zaznaczyć, że choć konto utworzone w wyniku wykorzystania luki CVE-2023-20198 pozostaje w systemie, sam implant jest nietrwały – zostaje usunięty w momencie ponownego uruchomienia urządzenia. Na razie brak informacji na temat tego, kto stoi za atakami ani jaki jest ich cel.

O innych podatnościach w urządzeniach Cisco pisaliśmy tutaj.