Hackers exploit Cisco SD-WAN flaw to deploy custom KeyDrift malware

Un grupo de ci­ber­de­lin­cuen­tes avan­za­do, iden­ti­fi­ca­do como UAT-11473, ha es­ta­do apro­ve­chan­do una vul­ne­ra­bi­li­dad de omi­sión de au­ten­ti­ca­ción en los con­tro­la­do­res Cisco Ca­talyst SD-WAN para ins­ta­lar un pro­gra­ma ma­li­cio­so pro­pio co­no­ci­do como Key­Drift. Esta vul­ne­ra­bi­li­dad, ca­ta­lo­ga­da con la má­xi­ma gra­ve­dad, per­mi­te que ata­can­tes re­mo­tos con­si­gan ac­ce­so pri­vi­le­gia­do e in­tro­duz­can nodos fal­sos en los sis­te­mas afec­ta­dos. In­ves­ti­ga­cio­nes re­cien­tes han vin­cu­la­do la ex­plo­ta­ción de este fallo de se­gu­ri­dad con gru­pos de ac­to­res es­ta­ta­les y con ope­ra­cio­nes atri­bui­das a ac­to­res de ame­na­zas de ori­gen chino.

Las agre­sio­nes de­tec­ta­das se han di­ri­gi­do con­tra sec­to­res es­pe­cí­fi­cos como ser­vi­cios es­pa­cia­les y de sa­té­li­tes, tec­no­lo­gías de de­fen­sa y ae­ro­es­pa­cia­les, ade­más de en­ti­da­des de­di­ca­das a la in­ves­ti­ga­ción de po­lí­ti­cas pú­bli­cas. El pro­pó­si­to prin­ci­pal del soft­wa­re ma­li­cio­so Key­Drift es ase­gu­rar un ac­ce­so pro­lon­ga­do y au­to­ma­ti­zar el robo de ma­te­ria­les crip­to­grá­fi­cos sen­si­bles ope­ran­do di­rec­ta­men­te en los pro­ce­sos del plano de con­trol de la red, donde in­ter­cep­ta el trá­fi­co des­ci­fra­do y ex­trae me­ta­da­tos y cla­ves.

El fra­me­work ma­li­cio­so se com­po­ne prin­ci­pal­men­te de dos par­tes: Poly­Fla­me y Little­Filch. La pri­me­ra se eje­cu­ta en pro­ce­sos le­gí­ti­mos me­dian­te scripts mo­di­fi­ca­dos y un in­yec­tor, fa­ci­li­tan­do la eje­cu­ción de co­man­dos, la trans­fe­ren­cia de ar­chi­vos y la co­mu­ni­ca­ción con ser­vi­do­res de con­trol. La se­gun­da actúa como un mó­du­lo de in­ter­cep­ción que su­per­vi­sa los men­sa­jes de con­trol, re­co­pi­la iden­ti­fi­ca­do­res y cla­ves crip­to­grá­fi­cas, pro­te­ge la in­for­ma­ción re­co­lec­ta­da me­dian­te ci­fra­do y la trans­mi­te a los ata­can­tes. Como me­di­da de mi­ti­ga­ción, el pro­vee­dor acon­se­ja a los ad­mi­nis­tra­do­res apli­car las ac­tua­li­za­cio­nes de se­gu­ri­dad dis­po­ni­bles y re­vi­sar la guía de en­du­re­ci­mien­to para los des­plie­gues.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre las si­mu­la­cio­nes y mé­tri­cas fi­na­les men­cio­na­das al cie­rre del texto.