Rus devlet destekli tehdit aktörleri, özel kötü amaçlı yazılımlar oluşturdu ve bunu eski, yama uygulanmamış Cisco IOS yönlendiricilerine karşı kullanıyor (yeni sekmede açılır)ortak bir ABD-İngiltere raporu uyardı.
İngiltere Ulusal Siber Güvenlik Merkezi (NCSC), ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Ulusal Güvenlik Ajansı (NSA) ve Federal Soruşturma Bürosu (FBI) tarafından yayınlanan rapor (yeni sekmede açılır) Rusya Genelkurmay Ana İstihbarat Başkanlığı’na (GRU) bağlı olduğu iddia edilen bir grup olan APT28’in “Jaguar Tooth” adlı özel bir kötü amaçlı yazılım geliştirdiğini belirtiyorlar.
Bu kötü amaçlı yazılım, yönlendiriciden geçen hassas verileri çalabilir ve tehdit aktörlerinin cihaza kimliği doğrulanmamış arka kapı erişimine izin verir.
Veri çalmak
BleepingComputer’ın bildirdiğine göre, saldırganlar önce yaygın olarak kullanılan “genel” dize gibi zayıf SNMP topluluk dizelerini kullanarak genel Cisco yönlendiricilerini tarar. Yayına göre, SNMP topluluk dizeleri, “yapılandırılmış diziyi bilen herkesin bir cihazda SNMP verilerini sorgulamasına izin veren kimlik bilgileri” gibidir.
Saldırganlar, geçerli bir SNMP topluluk dizisi bulurlarsa, uzaktan kod yürütülmesine izin veren altı yıllık bir güvenlik açığı olan CVE-2017-6742’den yararlanmaya çalışacak. Bu, Jaguar Tooth kötü amaçlı yazılımını doğrudan Cisco yönlendiricilerinin belleğine yüklemelerine olanak tanır.
Danışma belgesinde “Jaguar Tooth, üretici yazılımı çalıştıran Cisco IOS yönlendiricilerini hedefleyen kalıcı olmayan bir kötü amaçlı yazılımdır: C5350-ISM, Sürüm 12.3(6),” yazıyor. “TFTP üzerinden sızdırdığı cihaz bilgilerini toplama işlevi içerir ve kimliği doğrulanmamış arka kapı erişimi sağlar. Yamalı SNMP güvenlik açığı CVE-2017-6742’nin kullanılması yoluyla dağıtıldığı ve yürütüldüğü gözlemlendi.”
Kötü amaçlı yazılım daha sonra, bu Komut Satırı Arayüzü komutlarının tüm çıktılarını toplayan ve TFTP kullanarak toplayan “Hizmet Politikası Kilidi” adlı yeni bir süreç oluşturacaktır:
- çalışan yapılandırmayı göster
- versiyonu göster
- ip arayüzü özetini göster
- arp’ı göster
- cdp komşularını göster
- başlangıcı göster
- ip yolunu göster
- flaşı göster
Sorunu çözmek için yöneticilerin Cisco yönlendiricilerinin ürün yazılımını hemen güncellemesi gerekir. Ayrıca, genel yönlendiricilerde SNMP’den NETCONF/RESTCONF’a geçebilirler. SNMP’den geçiş yapamıyorlarsa, internete bağlı yönlendiricilerde SNMP arabirimine kimlerin erişebileceğini sınırlamak için izin verme ve reddetme listelerini yapılandırmaları gerekir. Ayrıca, topluluk dizesi daha güçlü bir şeyle değiştirilmelidir.
Danışma belgesi ayrıca yöneticilerin SNMP v2 veya Telnet’i devre dışı bırakması gerektiğini söylüyor.
Aracılığıyla: BleepingBilgisayar (yeni sekmede açılır)
