Hackers Exploited Cisco SD-WAN Flaw to Plant Malware Built to Steal Encryption Keys

Un grupo de ata­can­tes apro­ve­chó una vul­ne­ra­bi­li­dad crí­ti­ca en los sis­te­mas de con­trol de redes SD-WAN de Cisco para ins­ta­lar soft­wa­re ma­li­cio­so per­so­na­li­za­do, co­no­ci­do como Key­Drift. Este fallo per­mi­te que un ata­can­te re­mo­to sin au­ten­ti­car ob­ten­ga pri­vi­le­gios ad­mi­nis­tra­ti­vos en los sis­te­mas de con­trol afec­ta­dos. Aun­que las ac­cio­nes se con­si­de­ran his­tó­ri­cas, la falla fue di­vul­ga­da ori­gi­nal­men­te en fe­bre­ro por Cisco y afec­ta­ba a di­ver­sos com­po­nen­tes de la in­fra­es­truc­tu­ra, in­de­pen­dien­te­men­te de su con­fi­gu­ra­ción.

La he­rra­mien­ta ma­li­cio­sa Key­Drift in­clu­ye com­po­nen­tes di­se­ña­dos para in­ter­cep­tar y re­gis­trar las cla­ves de ci­fra­do que se in­ter­cam­bian entre los en­ru­ta­do­res de la red y el con­tro­la­dor, al­ma­ce­nán­do­las de forma ci­fra­da para su pos­te­rior envío. Ade­más, el soft­wa­re opera me­dian­te la mo­di­fi­ca­ción de scripts de ini­cio y se in­yec­ta di­rec­ta­men­te en la me­mo­ria de los pro­ce­sos de con­trol para fun­cio­nar como una puer­ta tra­se­ra capaz de eje­cu­tar co­man­dos e in­ter­ac­tuar con ar­chi­vos.

Los sec­to­res que han sido blan­co de estas ope­ra­cio­nes in­clu­yen la in­ves­ti­ga­ción de po­lí­ti­cas, la tec­no­lo­gía ae­ro­es­pa­cial y de de­fen­sa, así como ser­vi­cios es­pa­cia­les y de sa­té­li­tes. Las in­ves­ti­ga­cio­nes han re­la­cio­na­do la in­fra­es­truc­tu­ra uti­li­za­da con una red de dis­po­si­ti­vos com­pro­me­ti­dos vin­cu­la­da a su vez con un grupo de ci­ber­es­pio­na­je pa­tro­ci­na­do por un es­ta­do, aun­que per­sis­ten dudas sobre la re­la­ción exac­ta entre los dis­tin­tos con­glo­me­ra­dos de ac­ti­vi­dad ob­ser­va­dos.

Para mi­ti­gar la si­tua­ción, Cisco ha pu­bli­ca­do ac­tua­li­za­cio­nes de soft­wa­re y re­co­men­da­cio­nes de en­du­re­ci­mien­to de se­gu­ri­dad, ade­más de re­glas de de­tec­ción para sis­te­mas Snort. No obs­tan­te, las re­co­men­da­cio­nes se­ña­lan que apli­car los par­ches o blo­quear cier­tos puer­tos no eli­mi­na por sí solo el malwa­re si el dis­po­si­ti­vo ya fue vul­ne­ra­do, por lo que se acon­se­ja ve­ri­fi­car la pre­sen­cia de ac­ti­vi­dad ma­li­cio­sa y se­guir pro­ce­di­mien­tos de res­pues­ta ante in­ci­den­tes.