سوء استفاده هکرهای چینی از آسیب پذیری روز صفر سیسکو

به گزارش کارگروه امنیت خبرگزاری سایبربان، سیسکو و شرکت امنیت سایبری سیگنیا (Sygnia)، توصیه‌هایی را در روز دوشنبه درباره آسیب پذیری CVE-2024-20399 منتشر کردند؛ آسیب‌پذیری که بر نرم‌افزار NX-OS این شرکت و بر سوئیچ‌های سری نکسوس (Nexus) که دستگاه‌ها را در شبکه متصل می‌کنند، تأثیر می‌گذارد.

آمنون کوشیر، مدیر تحقیقات پاسخ به حوادث سیگنیا بیان کرد که آنها این آسیب‌پذیری را به عنوان بخشی از تحقیقات بزرگتر خود شامل یک گروه تهدید به نام مورچه مخملی یا ولوت انت (Velvet Ant) کشف کردند.

کوشیر توضیح داد:

عوامل تهدید، اعتبارنامه‌های سطح سرپرستی را جمع‌آوری کردند تا به سوئیچ‌های نکسوس شرکت سیسکو دسترسی پیدا کنند و یک بدافزار سفارشی ناشناخته را که قبلاً ناشناخته بود، به کار گرفتند که به آنها اجازه می‌داد از راه دور به دستگاه‌های در معرض خطر متصل شوند، فایل‌های اضافی را آپلود کنند و کدهای مخرب را اجرا کنند. ما بلافاصله این آسیب‌پذیری و بهره‌برداری را به سیسکو گزارش کردیم و اطلاعات دقیقی در مورد جریان حمله ارائه کردیم.

سیسکو به‌روزرسانی‌های نرم‌افزاری را منتشر کرده است که آسیب‌پذیری را برطرف می‌کند، اما آنها خاطرنشان کردند که هیچ راه‌حلی وجود ندارد.

این شرکت اظهار کرد که تیم پاسخگویی به حوادث امنیتی محصول (PSIRT) از تلاش برای بهره برداری در ماه آوریل مطلع شده است.

این آسیب‌پذیری بر چندین محصول سیسکو که نسخه آسیب‌پذیر نرم‌افزار NX-OS را اجرا می‌کنند، تأثیر می‌گذارد.

به گفته سیگنیا، سوئیچ‌های نکسوس در محیط‌های سازمانی، به‌ویژه در مراکز داده رایج هستند، اما بیشتر آنها مستقیماً در معرض اینترنت نیستند.

کوشیر در ادامه افزود:

دستگاه‌های شبکه مانند سوئیچ‌ها اغلب به اندازه کافی محافظت نمی‌شوند و سازمان‌ها اغلب اقدامات دیگری را برای محافظت از خود انجام نمی‌دهند.

کوشیر همچنین تصریح کرد که هکرهای مورچه مخملی احتمالاً قبل از سوء استفاده از آسیب‌پذیری، ابتدا شبکه سازمان را مورد حمله قرار داده اند و او، آن را نمونه دیگری از پیچیدگی و پنهان کاری این گروه هنگام نفوذ به دستگاه‌های شبکه نامید.

هدف اصلی این گروه، جاسوسی است و بر ایجاد دسترسی طولانی مدت به شبکه قربانی تمرکز دارد.

در ماه ژوئن، سیگنیا در مورد یک کمپین این گروه هکری نوشت که در آن هکرها توانستند جای پای خود را در محیط شرکت قربانی به مدت سه سال حفظ کنند.

این گروه از تجهیزات قدیمی F5 BIG-IP برای ماندن در زیر رادار و به دست آوردن اطلاعات خصوصی، از جمله اطلاعات مالی و مشتریان استفاده کرده است.