Una banda de ransomware y hackers patrocinados por el Estado se han aprovechado de las vulnerabilidades de Cisco FMC

Cisco Talos ha informado que tres grupos de atacantes, vinculados a campañas de ransomware y a ciberespionaje patrocinado por estados, han aprovechado dos vulnerabilidades recientemente corregidas en los sistemas Secure Firewall Management Center (FMC). Los fallos explotados corresponden a un problema de omisión de autenticación y a una falla de credenciales estáticas en cuentas de bajos privilegios. Como respuesta a estas incidencias, la compañía ha lanzado correcciones temporales y recomienda su instalación inmediata, además de preparar un paquete de seguridad más amplio para los próximos días.

Uno de los grupos detectados utilizó las credenciales estáticas para realizar tareas de reconocimiento interno, recopilar datos sensibles y desplegar el ransomware Qilin con el fin de cifrar archivos en los equipos de las víctimas. Un segundo grupo, con herramientas vinculadas a un actor estatal avanzado asociado con operaciones de inteligencia militar, logró acceso mediante ambas fallas de seguridad para instalar puertas traseras y variantes del malware Cyclops Blink. Por último, un tercer grupo empleó el fallo de omisión de autenticación para instalar una herramienta web maliciosa que les permitió ejecutar comandos y robar credenciales de usuario.

El informe de Talos también aclaró la relación entre los incidentes detectados previamente, confirmando que uno de los grupos utilizó ambos fallos de manera combinada. Adicionalmente, el texto menciona que, de acuerdo con otro reporte, una vez que los agresores consiguen credenciales válidas, la efectividad de las defensas preventivas disminuye considerablemente durante las simulaciones en entornos de producción.