ArcaneDoor: l’attacco zero-day su scala mondiale che sfrutta i dispositivi Cisco!

Redazione RHC : 25 Aprile 2024 08:52

Il costante evolversi della tecnologia porta con sé nuove sfide per la sicurezza informatica. I dispositivi progettati per proteggere le reti, come i firewall, diventano sempre più bersaglio degli hacker, che li sfruttano come punto di ingresso per compromettere i sistemi che dovrebbero difendere. In un recente caso di campagna di hacking, Cisco ha rivelato che i suoi firewall sono stati utilizzati come ponti per infiltrarsi nelle reti governative in tutto il mondo.

Cisco ha segnalato che i suoi dispositivi Adaptive Security Appliances (ASA), che combinano firewall, VPN e altre funzionalità di sicurezza, sono stati bersagliati da spie sponsorizzate dallo stato. Questi hacker hanno sfruttato due vulnerabilità zero-day per compromettere obiettivi governativi in una campagna di hacking denominata ArcaneDoor.

“Questo attore ha utilizzato strumenti su misura che hanno dimostrato una chiara attenzione allo spionaggio e una conoscenza approfondita dei dispositivi presi di mira, tratti distintivi di un sofisticato attore sponsorizzato dallo stato”, si legge in un post sul blog dei ricercatori Talos di Cisco.

Le intrusioni sono state condotte da un gruppo che Cisco Talos, il dipartimento di sicurezza di Cisco, ha identificato come UAT4356, mentre i ricercatori di Microsoft coinvolti nelle indagini lo hanno chiamato STORM-1849. Questi attacchi sembrano essere stati sponsorizzati da uno stato a causa della loro complessità e mira precisa.

La campagna di hacking è iniziata nel novembre 2023 e si è concentrata principalmente tra dicembre e gennaio di quest’anno, coinvolgendo reti governative in tutto il mondo.

Gli hacker hanno sfruttato due vulnerabilità nei prodotti ASA di Cisco: Line Dancer, che consente l’esecuzione di codice dannoso nella memoria dei dispositivi, e Line Runner, che mantiene l’accesso anche dopo riavvii o aggiornamenti.

Cisco ha rilasciato aggiornamenti software per correggere queste vulnerabilità e ha consigliato ai clienti di implementarli immediatamente. Tuttavia, rilevare l’accesso degli hacker ai dispositivi ASA rimane difficile.

La campagna ArcaneDoor evidenzia una tendenza più ampia di hacker sponsorizzati dallo stato che prendono di mira dispositivi perimetrali di rete come firewall e VPN per ottenere un punto di ingresso nella rete della vittima.

Mandiant, società di sicurezza di Google, ha evidenziato nel suo rapporto annuale M-Trends anche hacker russi che sfruttano dispositivi edge, come server di posta elettronica e firewall, per attacchi informatici contro obiettivi ucraini. Queste tendenze sottolineano l’importanza di proteggere non solo il cuore della rete, ma anche i dispositivi periferici.

In un panorama sempre più pericoloso della sicurezza informatica, è essenziale per le organizzazioni rimanere vigili e implementare le migliori pratiche di sicurezza per proteggere le proprie reti da minacce sempre più sofisticate.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.