Se han aprovechado vulnerabilidades de Cisco FMC para robar credenciales e instalar el ransomware Qilin

Cisco ha informado que tres grupos de actores maliciosos diferentes, relacionados con ataques patrocinados por estados y operaciones de ransomware, han estado aprovechando dos fallos de seguridad ya corregidos en el software Secure Firewall Management Center (FMC). El primer fallo permite a un atacante remoto no autenticado sortear los controles de acceso y ejecutar archivos de código en la interfaz web para alcanzar privilegios de superusuario en el sistema operativo. El segundo defecto posibilita que un atacante remoto sin autenticación utilice una cuenta con privilegios reducidos para ingresar al dispositivo e interactuar con información confidencial.

Las investigaciones de Cisco Talos detectaron tres agrupaciones distintas de actividad maliciosa tras la vulneración de los sistemas FMC. El primer grupo utilizó el fallo de mayor gravedad para instalar web shells y ejecutores de comandos con el fin de consultar bases de datos internas y apropiarse de credenciales de usuario. El segundo conjunto combinó ambas fallas para introducir una consola interactiva inversa, scripts destinados a extraer configuraciones de dispositivos administrados y un implante modular previamente vinculado a un grupo de piratería informática respaldado por el estado ruso. El tercer conglomerado operó un esquema de ransomware utilizando el segundo fallo para el acceso inicial, herramientas legítimas integradas para el reconocimiento del entorno, software de túneles para mantener el acceso, recopilación de credenciales, desactivación de defensas de seguridad y la implementación del ransomware Qilin en los sistemas seleccionados.