Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Cerca
2nd Edition GlitchZone RHC 970x120 2
Banner Mobile
37.000 dispositivi CISCO contengono backdoor. Attenzione in quanto il malware ora risulta più difficile da rilevare

37.000 dispositivi CISCO contengono backdoor. Attenzione in quanto il malware ora risulta più difficile da rilevare

Redazione RHC : 26 Ottobre 2023 18:30

Come temevano gli esperti di sicurezza, la recente diminuzione del numero di dispositivi Cisco IOS XE infetti è stata causata dal fatto che gli aggressori hanno aggiornato il loro malware e questo non è stato più rilevato durante le scansioni. Infatti, più di 37.000 dispositivi contengono ancora una backdoor scritta in Lua.

Ricordiamo che da settembre i dispositivi Cisco con IOS XE sono stati oggetto di attacchi massivi a causa delle vulnerabilità 0-day CVE-2023-20198 e CVE-2023-20273 recentemente scoperte. Le patch per questi problemi sono state rilasciate durante il fine settimana e sono ora disponibili  per i clienti tramite il download del software Cisco.

Gli aggressori utilizzano i bug CVE-2023-20198 e CVE-2023-20273 per penetrare nei dispositivi vulnerabili e creare account privilegiati (con il livello di privilegio più alto di 15), quindi ottenere i diritti di root e installare una backdoor scritta in Lua nel sistema, che consente di eseguire comandi da remoto.


Rhc Conference Sponsor Program 2

Sponsorizza la prossima Red Hot Cyber Conference!

Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference
Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico. 
Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale. 
Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.


Supporta Red Hot Cyber attraverso: 

  1. L'acquisto del fumetto sul Cybersecurity Awareness
  2. Ascoltando i nostri Podcast
  3. Seguendo RHC su WhatsApp
  4. Seguendo RHC su Telegram
  5. Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber

Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Entrambe le vulnerabilità possono essere sfruttate solo se sul dispositivo è abilitata la funzione di interfaccia web (server HTTP), che può essere eseguita tramite ip http server o ip http secure-server, e il dispositivo è connesso a Internet o a una rete non attendibile.

La scorsa settimana il numero di dispositivi compromessi con impianto Lua ha superato i 50.000, per poi crollare drasticamente. I ricercatori hanno trovato solo 100-1000 dispositivi compromessi, a seconda dei risultati delle diverse scansioni.

Gli esperti hanno avanzato varie proposte su come ciò possa essere potuto accadere, dall’intervento delle forze dell’ordine all’attività di uno sconosciuto hacker dal cappello grigio che ha automatizzato il riavvio dei dispositivi infetti eliminandoli così dalla backdoor.

Tuttavia, si è rivelata corretta un’altra teoria secondo cui gli aggressori dietro questi attacchi si sono resi conto del loro errore (il loro impianto veniva rilevato troppo facilmente da remoto) e hanno aggiornato il malware per nascondere la loro presenza. Ciò significa che l’impianto ora è invisibile durante le scansioni.

Pertanto, gli esperti di Fox-IT hanno riferito che il codice dannoso su decine di migliaia di dispositivi hackerati è stato “modificato per verificare il valore dell’intestazione di autorizzazione HTTP prima di rispondere”.

Con queste informazioni, gli analisti di Fox-IT hanno condotto un’altra scansione e hanno concluso che 37.890 dispositivi IOS XE erano ancora compromessi e il malware non era scomparso.

VulnCheck, una società di analisi delle vulnerabilità, conferma che migliaia di dispositivi sono ancora compromessi e, di fatto, sotto il controllo degli aggressori.

Gli sviluppatori Cisco sono già a conoscenza di una nuova variante di malware che “rende difficile identificare i sistemi compromessi”. È stato riferito che la nuova versione del malware ha iniziato ad essere distribuita il 20 ottobre e ha all’incirca le stesse funzionalità della precedente.

L’azienda consiglia di utilizzare il comando curl per rilevare questa versione:

curl -k -H "Authorization: 0ff4fbf0ecffa77ce8d3852a29263e263838e9bb" -X POST https://systemip/webui/logoutconfirm.html?logon_hash=1.

“Se la richiesta restituisce una stringa esadecimale, ad esempio 0123456789abcdef01, allora c’è un impianto nel sistema”, afferma Cisco.

Si sottolinea che, sebbene il malware distribuito dagli hacker non sia permanente (vale a dire, venga eliminato al riavvio del dispositivo), ma l’account ad alto privilegio creato dagli hacker rimane sul dispositivo anche dopo il riavvio.

Immagine del sitoRedazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

Articoli in evidenza

Immagine del sito
183 milioni di account Gmail hackerati! E’ falso: era solo una bufala
Di Redazione RHC - 29/10/2025

Per la seconda volta negli ultimi mesi, Google è stata costretta a smentire le notizie di una massiccia violazione dei dati di Gmail. La notizia è stata scatenata dalle segnalazioni di un “hacking...

Immagine del sito
Tasting the Exploit: HackerHood testa l’Exploit di Microsoft WSUS CVE-2025-59287
Di Manuel Roccon - 29/10/2025

Il panorama della sicurezza informatica è stato recentemente scosso dalla scoperta di una vulnerabilità critica di tipo Remote Code Execution (RCE) nel servizio Windows Server Update Services (WSUS)...

Immagine del sito
Se ricevi una mail che dice che sei morto… è il nuovo phishing contro LastPass
Di Redazione RHC - 29/10/2025

Gli sviluppatori del gestore di password LastPass hanno avvisato gli utenti di una campagna di phishing su larga scala iniziata a metà ottobre 2025. Gli aggressori stanno inviando e-mail contenenti f...

Immagine del sito
ChatGPT Atlas: i ricercatori scoprono come un link può portare al Jailbreak
Di Redazione RHC - 29/10/2025

I ricercatori di NeuralTrust hanno scoperto una vulnerabilità nel browser di ChatGPT Atlas di OpenAI. Questa volta, il vettore di attacco è collegato alla omnibox, la barra in cui gli utenti inseris...

Immagine del sito
Allarme malware: vulnerabilità critiche in plugin WordPress sfruttate attivamente
Di Redazione RHC - 29/10/2025

Wordfence lancia l’allarme su una campagna malware su larga scala in cui gli aggressori stanno sfruttando vulnerabilità critiche nei popolari plugin di WordPress GutenKit e Hunk Companion. L’azie...