https://www.informationsecurity.com.tw/Seminar/2024_TCM/
https://www.informationsecurity.com.tw/Seminar/2024_TCM/

新聞

IOS XE零日漏洞威脅擴大! 超過4萬台思科設備被植入後門帳號

2023 / 10 / 23
編輯部
IOS XE零日漏洞威脅擴大! 超過4萬台思科設備被植入後門帳號
駭客利用最近披露的滿分嚴重漏洞:CVE-2023-20198,成功侵入超過四萬台運行IOS XE作業系統的思科設備。思科目前尚無可用的修補或解決方法,唯一的建議是在所有公開於網路的系統上禁用HTTP伺服器功能以保護設備安全。

相關文章:思科示警未修補的IOS XE零日漏洞正被積極利用

運行思科IOS XE的網路設備包括企業交換機、工業路由器、接入點、無線控制器、聚合設備和分支路由器。最初,估計遭到侵害的思科IOS XE設備約為一萬台。隨著安全研究人員在網路進行更準確的掃描後,發現不只這一萬台。LeakIX引擎表示,他們搜索發現約三萬台被感染設備,這還沒包含那些感染後重啟的系統。

LeakIX這次搜索使用思科提供的感染指標(IoCs),以確定CVE-2023-20198是否成功感染暴露設備。結果表明,美國、菲律賓和智利等國數千台主機被感染。

電信龍頭Orange公司電腦應急回應小組(CERT)使用相同的方法進行驗證。他們在10月20日表示,駭客利用CVE-2023-20198發動攻擊,已經向超過34500個思科 IOS XE IP地址植入了惡意程式碼。

該小組還發佈了一個Python腳本,協助掃描運行思科 IOS XE系統的網路設備是否存在惡意程式碼。

目前Censys搜索平臺發佈更新文章,表示該平臺發現的受感染設備數量已經增長到41983台。儘管很難準確估計受感染思科IOS XE設備數量,但Shodan搜索顯示,此類主機數量略大於145000台,其中大多數位於美國。

資安研究員也利用Shodan引擎搜索受到CVE-2023-20198漏洞威脅的思科 IOS XE設備,發現有近九萬台主機暴露在網路上。

在美國,許多思科IOS XE設備來自於電信提供商,如 Comcast, Verizon, Cox Communications, Frontier, AT&T, Spirit, CenturyLink, Charter, Cobridge, Windstream, and Google Fiber. 
Sejiyama還列出了很多其他有思科IOS XE設備在網路上暴露的組織單位,其中不乏醫療中心、大學、警察單位、學區、便利商店、銀行、醫院和政府。專家表示,用戶不應該將IOS XE登入畫面公開在網路上,並應該遵循思科建議避免將web UI和管理服務暴露在公開網路或不受信任的網路。

專家也表示,會發生這樣的錯誤代表使用思科IOS XE設備的用戶組織可能壓根不知道有這個漏洞或攻擊行為。

設備重啟後仍存在風險

攻擊者早在9月28日之前就已經開始利用CVE-2023-20198 漏洞。他們在被感染主機上建立了高許可權帳戶,完全控制了設備。

思科近日更新了相關警告,公佈了新攻擊者IP地址和用戶名,以及針對Snort開源網路入侵偵測系統和入侵防護系統的新規則。

研究人員指出,這些攻擊的幕後威脅行為者植入了惡意程式碼,這些程式碼不具備持久性,重啟設備即可清除。

但是,惡意程式碼建立的新帳戶將仍然可用。這些帳戶擁有對設備的完整管理員存取權限。據思科分析,威脅行為者會收集有關設備的詳細資訊,並進行初步偵察。攻擊者還會清除日誌、刪除使用者,這或許是為了掩蓋他們的活動。

研究人員認為,這些攻擊背後只有一個威脅行為者,但無法確定初始傳遞機制。思科尚未披露有關攻擊的更多細節,但承諾在完成調查並提供修補時公布更多資訊。

本文轉載自BleepingComputer。