Cisco Corrige Vulnerabilidade Crítica Explorada por Grupo APT Chinês em Ataques Reais

Cisco Aborda Zero-Day Explorada por Ameaça Cibernética Chinesa

A Cisco lançou atualizações de segurança para corrigir uma vulnerabilidade crítica (CVE-2024-20399) que estava sendo ativamente explorada em ataques reais por um grupo de ameaça persistente avançada (APT) chinês identificado como UAT-9686. A falha foi utilizada para implantar o backdoor AquaShell em appliances Cisco vulneráveis com portas específicas expostas à internet.

Detalhes Técnicos

A vulnerabilidade, rastreada como CVE-2024-20399, afeta appliances Cisco que executam versões vulneráveis de software. Embora a Cisco não tenha divulgado todos os detalhes técnicos, a falha foi explorada para obter acesso não autorizado e executar comandos arbitrários. O backdoor AquaShell, uma cepa de malware leve, foi subsequentemente implantado para manter persistência e facilitar mais comprometimentos.

O vetor de ataque exigia que certas portas estivessem expostas à internet, destacando os riscos de segmentação de rede inadequada e defesas de perímetro mal configuradas.

Análise de Impacto

A exploração do CVE-2024-20399 pelo UAT-9686 ressalta a ameaça contínua representada por atores patrocinados por Estados que visam infraestruturas de rede. O backdoor AquaShell permite que os agentes de ameaça:

• Executem comandos remotos em sistemas comprometidos
• Exfiltrem dados sensíveis
• Estabeleçam uma posição para movimentação lateral dentro das redes

Dada a ampla utilização de appliances Cisco em ambientes corporativos e governamentais, a vulnerabilidade representa um risco significativo para organizações com dispositivos expostos.

Recomendações

A Cisco instou os clientes a aplicarem imediatamente os patches disponíveis para mitigar o risco de exploração. As equipes de segurança também devem:

• Auditar configurações de rede para garantir que nenhuma porta desnecessária esteja exposta à internet
• Monitorar sinais de comprometimento, incluindo execuções de comandos incomuns ou tráfego de rede suspeito
• Revisar logs em busca de indicadores de atividade do AquaShell, como execuções de processos anômalos ou conexões a servidores de comando e controle (C2) conhecidos

As organizações são aconselhadas a seguir o aviso de segurança da Cisco para obter instruções detalhadas de aplicação de patches e orientações adicionais de mitigação.

Para uma análise mais aprofundada, consulte o relatório original da SecurityWeek.