La puerta trasera implantada en los dispositivos Cisco mediante la explotaci\u00f3n de un par de fallas de d\u00eda cero en el software IOS XE ha sido modificada por el actor de amenazas para escapar de la visibilidad a trav\u00e9s de m\u00e9todos anteriores de toma de huellas digitales.<\/p>\n
“El tr\u00e1fico de red investigado hacia un dispositivo comprometido ha demostrado que el actor de la amenaza ha actualizado el implante para realizar una verificaci\u00f3n adicional del encabezado”, dijo el equipo Fox-IT de NCC Group. dicho<\/a>. “Por lo tanto, para muchos dispositivos, el implante todav\u00eda est\u00e1 activo, pero ahora solo responde si se establece el encabezado HTTP de autorizaci\u00f3n correcto”.<\/p>\n Los ataques implican crear CVE-2023-20198 (puntuaci\u00f3n CVSS: 10,0) y CVE-2023-20273 (puntuaci\u00f3n CVSS: 7,2) en una cadena de exploits que otorga al actor de la amenaza la capacidad de obtener acceso a los dispositivos, crear una cuenta privilegiada, y, en \u00faltima instancia, implementar un implante basado en Lua en los dispositivos.<\/p>\n El desarrollo se produce cuando Cisco comenz\u00f3 a implementar actualizaciones de seguridad para abordar las cuestiones<\/a>con m\u00e1s actualizaciones por venir en una fecha a\u00fan no revelada.<\/p>\n Actualmente se desconoce la identidad exacta del actor de amenazas detr\u00e1s de la campa\u00f1a, aunque se estima que la cantidad de dispositivos afectados es de miles, seg\u00fan los datos compartidos por VulnCheck y la empresa de gesti\u00f3n de superficies de ataque Censys.<\/p>\n “Las infecciones parecen ataques masivos”, dijo a The Hacker News Mark Ellzey, investigador senior de seguridad de Censys. “Puede llegar un momento en el que los hackers revisen lo que tienen y averig\u00fcen si algo vale algo”.<\/p>\n Sin embargo, la cantidad de dispositivos comprometidos cay\u00f3 en picado<\/a> en los \u00faltimos d\u00edas<\/a>disminuyendo de aproximadamente 40.000 a unos pocos cientos, lo que llev\u00f3 a especulaciones de que pudo haber habido alg\u00fan cambios bajo el cap\u00f3<\/a> para ocultar su presencia.<\/p>\n Las \u00faltimas alteraciones en el implante descubiertas por Fox-IT explican el motivo de la ca\u00edda repentina y dram\u00e1tica, ya que se ha observado que m\u00e1s de 37.000 dispositivos todav\u00eda est\u00e1n comprometidos con el implante.<\/p>\n Cisco, por su parte, ha confirmado<\/a> el cambio de comportamiento<\/a> en sus avisos actualizados, comparte un comando curl que se puede emitir desde una estaci\u00f3n de trabajo para verificar la presencia del implante en los dispositivos –<\/p>\n curl -k -H “Autorizaci\u00f3n: 0ff4fbf0ecffa77ce8d3852a29263e263838e9bb” -X POST “https:\/\/systemip\/webui\/logoutconfirm.html?logon_hash=1”<\/i><\/p><\/blockquote>\n “Si la solicitud devuelve una cadena hexadecimal como 0123456789abcdef01, el implante est\u00e1 presente”, se\u00f1al\u00f3 Cisco.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/10\/Implante-de-puerta-trasera-en-dispositivos-Cisco-pirateados-modificados-para.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n