Han surgido detalles sobre la explotaci\u00f3n por parte de un grupo de amenazas con v\u00ednculos con China de una falla de seguridad recientemente revelada y ahora parcheada en los conmutadores Cisco como un d\u00eda cero para tomar el control del dispositivo y evadir la detecci\u00f3n.<\/p>\n
La actividad, atribuida a Velvet Ant, se observ\u00f3 a principios de este a\u00f1o e involucr\u00f3 el uso de CVE-2024-20399 (puntaje CVSS: 6.0) como arma para distribuir malware a medida y obtener un amplio control sobre el sistema comprometido, facilitando tanto la exfiltraci\u00f3n de datos como el acceso persistente.<\/p>\n
“El exploit de d\u00eda cero permite a un atacante con credenciales de administrador v\u00e1lidas para la consola de administraci\u00f3n de Switch escapar de la interfaz de l\u00ednea de comandos (CLI) de NX-OS y ejecutar comandos arbitrarios en el sistema operativo Linux subyacente”, dijo la empresa de ciberseguridad Sygnia en un comunicado. informe<\/a> compartido con The Hacker News.<\/p>\n Velvet Ant llam\u00f3 por primera vez la atenci\u00f3n de los investigadores de la empresa de ciberseguridad israel\u00ed en relaci\u00f3n con una campa\u00f1a de varios a\u00f1os dirigida a una organizaci\u00f3n an\u00f3nima ubicada en el este de Asia aprovechando los antiguos dispositivos F5 BIG-IP como punto de vista para configurar la persistencia en el entorno comprometido.<\/p>\n La explotaci\u00f3n sigilosa de CVE-2024-20399 por parte del actor de amenazas sali\u00f3 a la luz a principios del mes pasado, lo que llev\u00f3 a Cisco a emitir actualizaciones de seguridad para liberar la falla.<\/p>\n Entre las t\u00e9cnicas comerciales se destaca el nivel de sofisticaci\u00f3n y las t\u00e1cticas de cambio de forma adoptadas por el grupo, infiltr\u00e1ndose inicialmente en nuevos sistemas Windows antes de trasladarse a servidores y dispositivos de red Windows m\u00e1s antiguos en un intento de pasar desapercibidos.<\/p>\n “El paso a operar desde dispositivos de red interna marca otra escalada en las t\u00e9cnicas de evasi\u00f3n utilizadas para asegurar la continuaci\u00f3n de la campa\u00f1a de espionaje”, dijo Sygnia.<\/p>\n La \u00faltima cadena de ataque implica ingresar a un dispositivo de conmutaci\u00f3n Cisco utilizando CVE-2024-20399 y realizar actividades de reconocimiento, para luego pasar a m\u00e1s dispositivos de red y, finalmente, ejecutar un binario de puerta trasera mediante un script malicioso.<\/p>\n El payload, denominado VELVETSHELL, es una amalgama de dos herramientas de c\u00f3digo abierto, una puerta trasera Unix llamada Tiny SHell y una utilidad proxy llamada 3proxy. Tambi\u00e9n admite capacidades para ejecutar comandos arbitrarios, descargar\/subir archivos y establecer t\u00faneles para el tr\u00e1fico de red mediante proxy.<\/p>\n “El modus operandi de Velvet Ant pone de relieve los riesgos y las dudas que existen en relaci\u00f3n con los dispositivos y aplicaciones de terceros que las organizaciones incorporan”, afirm\u00f3 la empresa. “Debido a la naturaleza de ‘caja negra’ de muchos dispositivos, cada pieza de hardware o software tiene el potencial de convertirse en una superficie de ataque que un adversario puede explotar”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/Hackers-chinos-aprovechan-un-fallo-de-dia-cero-en-un.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n