Una vulnerabilidad reciente en los conmutadores de ZyXEL ha sido aprovechada por hackers chinos

La firma de in­te­li­gen­cia de ame­na­zas Grey­Noi­se ha ad­ver­ti­do sobre un grupo de pi­ra­tas in­for­má­ti­cos de ori­gen chino que está ata­can­do in­te­rrup­to­res ZyXEL GS1900 en todo el mundo para sus­traer in­for­ma­ción con­fi­den­cial. La vul­ne­ra­bi­li­dad uti­li­za­da, re­gis­tra­da como CVE-2026-7273 y con una pun­tua­ción de gra­ve­dad alta, con­sis­te en un des­bor­da­mien­to de búfer ba­sa­do en pila que per­mi­te la eje­cu­ción de co­man­dos sin ne­ce­si­dad de au­ten­ti­ca­ción me­dian­te so­li­ci­tu­des HTTP ma­ni­pu­la­das. Para so­lu­cio­nar este pro­ble­ma, el fa­bri­can­te lanzó ac­tua­li­za­cio­nes de se­gu­ri­dad di­ri­gi­das a diez mo­de­los de estos dis­po­si­ti­vos.

Du­ran­te las ac­cio­nes ma­li­cio­sas, los ata­can­tes em­plea­ron un script de Python ocul­to para robar datos re­le­van­tes como con­fi­gu­ra­cio­nes, de­ta­lles de red y cre­den­cia­les de root ci­fra­das de casi mil apa­ra­tos afec­ta­dos. Aun­que el có­di­go es­ta­ba di­se­ña­do para ver­sio­nes es­pe­cí­fi­cas de firm­wa­re, tam­bién in­cluía op­cio­nes de línea de co­man­dos orien­ta­das a otros firm­wa­res vul­ne­ra­bles. Ade­más de la ex­trac­ción de cre­den­cia­les, se cons­ta­tó que una gran parte de los equi­pos com­pro­me­ti­dos con­ser­va­ba las cre­den­cia­les pre­de­ter­mi­na­das de fá­bri­ca, lo que fa­ci­li­ta fu­tu­ros ata­ques.

Ante esta si­tua­ción, la agen­cia de ci­ber­se­gu­ri­dad es­ta­dou­ni­den­se CISA in­cor­po­ró la falla a su ca­tá­lo­go de vul­ne­ra­bi­li­da­des ex­plo­ta­das co­no­ci­das y exi­gió a las agen­cias fe­de­ra­les que apli­quen los par­ches co­rres­pon­dien­tes den­tro de un plazo de­ter­mi­na­do. In­ves­ti­ga­cio­nes adi­cio­na­les re­la­cio­nan a este mismo grupo con ofen­si­vas di­ri­gi­das con­tra ins­ta­la­cio­nes de Word­Press y sis­te­mas de Ubi­qui­ti, des­ta­can­do el robo ma­si­vo de miles de re­gis­tros de una or­ga­ni­za­ción gu­ber­na­men­tal oc­ci­den­tal. Asi­mis­mo, los ana­lis­tas es­ti­man que los ata­can­tes guar­dan re­la­ción con el grupo Red Heron.