Un grupo de hackers vinculado al gobierno chino, conocido como Volt Typhoon (también denominado Bronze Silhouette), utilizó una vulnerabilidad previamente desconocida para atacar a los proveedores de servicios de Internet (ISP) de Estados Unidos. Esta actividad fue revelada por investigadores de Black Lotus Labs, parte de la firma de ciberseguridad Lumen.
Objetivo del grupo y su vinculación con el gobierno chino
Volt Typhoon se cree que opera bajo las órdenes del gobierno chino y se enfoca en atacar infraestructuras críticas, incluyendo redes de comunicaciones y telecomunicaciones. Según los investigadores, su objetivo es causar daños en el mundo real en caso de un futuro conflicto con Estados Unidos.
Funcionarios del gobierno estadounidense testificaron a principios de este año que los atacantes buscan perturbar cualquier respuesta militar estadounidense en una posible invasión anticipada de Taiwán. El grupo se centra en el acceso a sistemas críticos para lograr este fin.
Explotación de la vulnerabilidad Zero-Day
El grupo explotó una falla de día cero, identificada como CVE-2024-39717. Esta vulnerabilidad fue anunciada públicamente el 22 de agosto de 2024 y afecta a Versa Director, un software desarrollado por la empresa Versa Networks.
Versa vende soluciones para gestionar configuraciones de red y es utilizado por proveedores de servicios de Internet (ISP) y proveedores de servicios gestionados (MSP). Esta posición lo convierte en un objetivo atractivo para los atacantes, según el informe publicado por Black Lotus Labs.
Metodología del ataque
Según los investigadores, el objetivo principal de los ataques fue robar y utilizar credenciales en clientes intermedios de las víctimas comprometidas. Los atacantes apuntaron a los servidores Versa como punto de apoyo para acceder a otras redes conectadas a estos servidores.
Víctimas identificadas
Se encontraron cinco víctimas en total: cuatro en Estados Unidos, incluyendo dos ISP, un MSP y un proveedor de TI; y una víctima fuera del país, correspondiente a un ISP ubicado en India. Black Lotus Labs no reveló el nombre de las víctimas afectadas.
Respuesta de Versa Networks
Versa confirmó la vulnerabilidad y emitió un parche de emergencia al momento del descubrimiento. Posteriormente, lanzó un parche completo que fue distribuido a todos sus clientes. Los investigadores alertaron a la empresa sobre la falla a finales de junio.
Alerta y acción de CISA
Black Lotus Labs informó a la Agencia de Seguridad Cibernética de Estados Unidos (CISA) sobre la vulnerabilidad de día cero y la campaña activa. El viernes, CISA añadió el día cero a su lista de vulnerabilidades explotadas.