Se han aprovechado vulnerabilidades de Cisco FMC para robar credenciales e instalar el ransomware Qilin

Cisco ha in­for­ma­do que gru­pos ma­li­cio­sos vin­cu­la­dos a ata­ques ci­ber­né­ti­cos pa­tro­ci­na­dos por es­ta­dos y ope­ra­cio­nes de ran­som­wa­re han es­ta­do apro­ve­chan­do dos fa­llos de se­gu­ri­dad ya co­rre­gi­dos en su soft­wa­re Se­cu­re Fi­re­wall Ma­na­ge­ment Cen­ter. Estos in­ci­den­tes in­vo­lu­cran el uso de vul­ne­ra­bi­li­da­des en la in­ter­faz web de los dis­po­si­ti­vos afec­ta­dos para lo­grar ac­ce­sos no au­to­ri­za­dos y com­pro­me­ter los sis­te­mas sub­ya­cen­tes.

La pri­me­ra falla per­mi­te a ata­can­tes re­mo­tos sal­tar­se los me­ca­nis­mos de au­ten­ti­ca­ción y eje­cu­tar scripts para con­se­guir ac­ce­so de nivel raíz al sis­te­ma ope­ra­ti­vo. La se­gun­da vul­ne­ra­bi­li­dad po­si­bi­li­ta que usua­rios no au­ten­ti­ca­dos ac­ce­dan al sis­te­ma con una cuen­ta de pri­vi­le­gios bajos para con­sul­tar in­for­ma­ción con­fi­den­cial, pu­dien­do com­bi­nar­se con otros pro­ble­mas para es­ca­lar pri­vi­le­gios.

Se han iden­ti­fi­ca­do tres gru­pos dis­tin­tos que han ex­plo­ta­do estos fa­llos tras las in­tru­sio­nes. El grupo UAT-12197 uti­li­zó scripts y eje­cu­ta­bles para ex­traer datos de au­ten­ti­ca­ción y cre­den­cia­les de bases de datos in­ter­nas. Por su parte, UAT-11823 em­pleó he­rra­mien­tas de ac­ce­so in­ver­so y scripts para ex­traer con­fi­gu­ra­cio­nes, ade­más de un im­plan­te pre­via­men­te re­la­cio­na­do con ac­to­res pa­tro­ci­na­dos por el es­ta­do ruso. Fi­nal­men­te, UAT-11988 operó un ata­que de ran­som­wa­re que in­clu­yó ta­reas de re­co­no­ci­mien­to, des­plie­gue de he­rra­mien­tas para man­te­ner el ac­ce­so a la red, robo de cre­den­cia­les, des­ac­ti­va­ción de he­rra­mien­tas de se­gu­ri­dad y la ins­ta­la­ción del ran­som­wa­re Qilin.

Ante esta si­tua­ción, la com­pa­ñía ha ins­ta­do a sus clien­tes a ins­ta­lar los par­ches dis­po­ni­bles y ha anun­cia­do el lan­za­mien­to pró­xi­mo de una ac­tua­li­za­ción de for­ta­le­ci­mien­to. Pa­ra­le­la­men­te, una agen­cia gu­ber­na­men­tal es­ta­dou­ni­den­se ha in­cor­po­ra­do ambos fa­llos en su ca­tá­lo­go de vul­ne­ra­bi­li­da­des ex­plo­ta­das, es­ta­ble­cien­do pla­zos obli­ga­to­rios de co­rrec­ción para sus de­pen­den­cias fe­de­ra­les.