Se han identificado dos vulnerabilidades que permitieron a los actores maliciosos implantar un malware desconocido hasta ahora. Los actores maliciosos utilizaron las vulnerabilidades como zero-days, lo cual indica que Cisco no tenía conocimiento previo sobre ellas.
Acceso y control de dispositivos
Los actores maliciosos aprovecharon su acceso para generar versiones de texto de los archivos de configuración. También controlaron servicios syslog y modificaron las configuraciones de autenticación.
Vulnerabilidades identificadas
Cisco corrigió dos fallos de seguridad que los actores maliciosos utilizaron como zero-days. Las vulnerabilidades incluyen CVE-2024-20353 (denegación de servicio) y CVE-2024-20359 (ejecución persistente de código local).
Malware implantado
Uno de los programas maliciosos implantados incluye «Line Dancer», un cargador de código shell en memoria que ayuda a entregar y ejecutar cargas útiles de código shell arbitrarias. El malware Line Dancer permite desactivar el registro, proporcionar acceso remoto y filtrar paquetes capturados.
El segundo implante es una puerta trasera persistente llamada «Line Runner» que incluye múltiples mecanismos de evasión de defensa para evitar la detección. Este componente permite a los atacantes ejecutar código arbitrario en los sistemas hackeados.
Recomendaciones de Cisco
Cisco publicó actualizaciones de seguridad para hacer frente a estas vulnerabilidades. La empresa recomienda a todos los clientes que actualicen sus dispositivos para evitar posibles ataques.
Cisco insta a los administradores a supervisar los registros del sistema en busca de cualquier indicio de actividad no autorizada. También les advierte de asegurarse de que los dispositivos están correctamente parcheados, registrados y configurados con medidas de autenticación sólidas.
Advertencias sobre ataques
Cisco proporciona instrucciones para verificar la integridad de los dispositivos ASA o FTD. Las advertencias incluyen ataques de fuerza bruta a gran escala dirigidos a servicios VPN y SSH.
Las advertencias también incluyen orientaciones para mitigar los ataques de pulverización de contraseñas en servicios VPN de acceso remoto.