La empresa publicó actualizaciones de software para corregir ambas vulnerabilidades, y aconseja a sus clientes que las instalen inmediatamente, junto con otras recomendaciones para detectar si fueron atacados. A pesar del mecanismo de persistencia para Line Runner de los hackers, otro aviso del Centro Nacional de Ciberseguridad (NCSC, por sus siglas en inglés) de Reino Unido señala que desconectar físicamente un dispositivo ASA interrumpe el acceso de los atacantes. “Se ha confirmado que un reinicio completo desconectando el enchufe de alimentación del [dispositivo] Cisco ASA impide que Line Runner se reinstale”, resalta el comunicado.
La campaña de hackeo ArcaneDoor representa la última serie de intrusiones dirigidas a aplicaciones del perímetro de la red, a veces denominadas dispositivos “periféricos”, como servidores de email, firewalls y VPN, a menudo equipos destinados a ofrecer seguridad, cuyas vulnerabilidades permiten a los hackers obtener un punto de apoyo dentro de la red de la víctima. Los investigadores de Talos advierten de esa tendencia más amplia en su informe, refiriéndose a redes altamente sensibles que fueron blanco de ataques a través de dispositivos periféricos en los últimos años. “Conseguir un punto de apoyo en estos equipos facilita que un actor se infiltre directamente en una organización, redirija o modifique el tráfico y supervise las comunicaciones de la red”, destacan. “En los dos últimos años, hemos observado un aumento drástico y sostenido de los ataques a estos dispositivos en ámbitos como los proveedores de telecomunicaciones y las organizaciones del sector energético, entidades de infraestructuras críticas que probablemente sean objetivos estratégicos de interés para muchos gobiernos extranjeros”.
El gobierno de Estados Unidos depende de servicios de Microsoft que han presentado graves fallos de seguridad. El gigante tecnológico no parece estar muy apurado…
Más ataques de día cero en 2024
El cambio de tendencia de los hackers apoyados por el Estado a comprometer los dispositivos periféricos fue tan frecuente el año pasado que la empresa de seguridad Mandiant, propiedad de Google, también lo destacó en su informe anual M-Trends a principios de esta semana, a partir de los hallazgos de la compañía sobre inteligencia de amenazas y respuesta a incidentes. El documento puntualiza en vulnerabilidades ampliamente explotadas en dispositivos de borde de red vendidos por Barracuda e Ivanti, y señala que los hackers, específicamente los grupos chinos centrados en el espionaje, están creando malware personalizado para esta clase de equipos, en parte porque muchas redes tienen poca o ninguna forma de supervisar si estos están en peligro. Detectar el acceso de los hackers de ArcaneDoor a los dispositivos Cisco ASA, en particular, es “increíblemente difícil”, de acuerdo con el aviso del NCSC de Reino Unido.
Mandiant resalta que los hackers rusos patrocinados por el Estado también atacan los dispositivos periféricos: ha observado que la unidad de la agencia de inteligencia militar rusa GRU, conocida como Sandworm, hackea repetidamente dispositivos periféricos empleados por organizaciones ucranianas para obtener y mantener el acceso a esas redes víctimas, a menudo para realizar ciberataques destructores de información. En algunos casos, la falta de visibilidad y supervisión de esos dispositivos hizo que Sandworm lograra borrar una red víctima mientras mantenía el control de uno de esos equipos, para después volver a atacar la misma red.
“Están atacando sistemáticamente los dispositivos de seguridad que se encuentran en el borde para acceder al resto de la red”, comenta John Hultquist, jefe de inteligencia de amenazas de Mandiant. “Esto ya no es una tendencia emergente. Está consolidada”.
Hultquist apunta, sin embargo, que China no tiene comparación en su descubrimiento y uso de dispositivos de red de día cero, como los que ha utilizado para arrasar con los firewalls de Cisco en los últimos meses. Prevé que ocurrirán más, a medida que los ciberespías chinos sigan usando los dispositivos destinados a proteger las redes objetivo en contra de sus propietarios. “Es poco probable que estos [ataques de] día cero se estén produciendo al azar. Sospechamos que se está llevando a cabo un esfuerzo coordinado y dotado de recursos para encontrar y explotar estas vulnerabilidades”, afirma Hultquist. “Por desgracia, es casi seguro que veremos varios [ataques de] día cero más en dispositivos de seguridad este año”.
Artículo publicado originalmente en WIRED. Adaptado por Andrei Osornio.