Un grupo de delincuentes informáticos chino, conocido como Salt Typhoon, sigue activo a nivel global y ha comprometido la seguridad de múltiples proveedores de telecomunicaciones estadounidenses. El grupo, también denominado FamousSparrow, Ghost Emperor, Earth Estries y UNC2286, ha estado explotando vulnerabilidades en dispositivos Cisco IOS XE sin parches desde al menos 2019.
Explotación de vulnerabilidades
Según la división de investigación de amenazas Insikt Group de Recorded Future, el grupo ha explotado las vulnerabilidades CVE-2023-20198 y CVE-2023-20273. Estas brechas permiten al grupo acceder a dispositivos Cisco mediante escalamiento de privilegios e inyección de comandos en la interfaz web.
Los investigadores han detectado dispositivos Cisco comprometidos y reconfigurados que se comunican con servidores controlados por Salt Typhoon a través de túneles GRE para mantener un acceso persistente. Entre diciembre de 2024 y enero de 2025, el grupo atacó más de 1.000 dispositivos Cisco, la mayoría ubicados en Estados Unidos, Sudamérica e India.
Impacto en proveedores de telecomunicaciones
Estos ataques han provocado vulneraciones de red en varios proveedores de telecomunicaciones, incluyendo un ISP estadounidense, una filial estadounidense de un proveedor británico, un proveedor sudafricano, un ISP italiano y un gran operador tailandés. La actividad ha sido focalizada, ya que solo representa el 8% de los dispositivos Cisco expuestos a Internet.
En 2023, estas vulnerabilidades fueron explotadas en ataques Zero-Day que comprometieron más de 50.000 dispositivos Cisco IOS XE. Estas fallas se encontraban entre las cuatro principales explotadas con mayor frecuencia durante ese año.
Recomendaciones y respuestas
Insikt Group recomienda a los administradores de red que operen dispositivos Cisco IOS XE expuestos a Internet que apliquen los parches disponibles lo antes posible. También sugiere evitar exponer las interfaces de administración o servicios no esenciales directamente a Internet.
Un portavoz de Cisco indicó que, aunque se han detectado más de 1.000 dispositivos atacados, la actividad podría estar focalizada y que el grupo RedMike realizaba una actividad de reconocimiento periódica seleccionando dispositivos vinculados a proveedores de telecomunicaciones.
Confirmación de ataques
Estas infracciones forman parte de una campaña más amplia confirmada por el FBI y la CISA en octubre. Los delincuentes informáticos chinos han vulnerado los datos de múltiples operadores de telecomunicaciones estadounidenses, entre ellos AT&T, Verizon, Lumen, Charter Communications, Consolidated Communications y Windstream, así como empresas de telecomunicaciones en docenas de otros países.
Los atacantes tenían acceso a las redes de telecomunicaciones estadounidenses pero solo comprometieron «comunicaciones privadas» de un «número limitado» de funcionarios del gobierno y accedieron a la plataforma de escuchas telefónicas de las fuerzas del orden de Estados Unidos.