«Sandworm» aprovecha las vulnerabilidades de Cisco para desplegar Cyclops Blink

Un grupo de pi­ra­tas in­for­má­ti­cos po­si­ble­men­te vin­cu­la­do a Rusia, co­no­ci­do como Sand­worm, está des­ple­gan­do una ver­sión ac­tua­li­za­da de un bot­net ma­li­cio­so me­dian­te la com­bi­na­ción de dos vul­ne­ra­bi­li­da­des en la tec­no­lo­gía Fi­re­wall Ma­na­ge­ment Cen­ter de Cisco. Esta ame­na­za cuen­ta con la ca­pa­ci­dad de robar cre­den­cia­les, exa­mi­nar redes in­ter­nas y re­gis­trar trá­fi­co en di­rec­to en los equi­pos afec­ta­dos. Cisco ha ins­ta­do a las or­ga­ni­za­cio­nes a ins­ta­lar co­rrec­cio­nes tem­po­ra­les de ma­ne­ra ur­gen­te de­bi­do a la exis­ten­cia de ac­ti­vi­da­des de ex­plo­ta­ción en el mundo real, a la es­pe­ra de una ac­tua­li­za­ción más am­plia.

Esta nueva va­rian­te de la ame­na­za re­pre­sen­ta una evo­lu­ción sig­ni­fi­ca­ti­va res­pec­to a las ver­sio­nes de­tec­ta­das an­te­rior­men­te, las cua­les afec­ta­ban a otros dis­po­si­ti­vos y de­pen­dían de ar­qui­tec­tu­ras y firm­wa­res es­pe­cí­fi­cos. La nueva ver­sión opera en sis­te­mas Linux de 64 bits y em­plea téc­ni­cas ge­né­ri­cas de per­sis­ten­cia, ade­más de in­cor­po­rar fun­cio­nes para rea­li­zar aná­li­sis ac­ti­vos de red, cap­tu­rar pa­que­tes de datos y re­co­pi­lar in­for­ma­ción va­ria­da como hashes de con­tra­se­ñas y datos de con­fi­gu­ra­ción, lo que le otor­ga una mayor com­pa­ti­bi­li­dad con di­ver­sos dis­po­si­ti­vos ba­sa­dos en Linux.

Ade­más del grupo aso­cia­do a Sand­worm, Cisco iden­ti­fi­có que otros dos con­jun­tos de ata­can­tes están ex­plo­tan­do de forma ac­ti­va las mis­mas fa­llas en el soft­wa­re Se­cu­re FMC. Uno de estos gru­pos uti­li­za una de las vul­ne­ra­bi­li­da­des para ins­ta­lar puer­tas tra­se­ras web y he­rra­mien­tas de eje­cu­ción de co­man­dos orien­ta­das al robo de cre­den­cia­les, mien­tras que el otro em­plea la se­gun­da falla para dis­tri­buir pro­gra­mas de se­cues­tro de datos del tipo ran­som­wa­re.