CISA wydała dyrektywę nadzwyczajną po tym, jak podmioty wspierane przez państwo zaczęły wykorzystywać luki zero-day w urządzeniach Cisco Adaptive Security Appliances (ASA). Cisco, współpracując z agencjami USA, potwierdziło ataki umożliwiające wgranie złośliwego oprogramowania, wykonywanie poleceń i potencjalną eksfiltrację danych. Za sprawcę uznaje się ArcaneDoor; ucierpiało co najmniej 10 organizacji na całym świecie — w tym kilka amerykańskich agencji federalnych.
Co się dzieje
- Ujawniono trzy luki zero-day; dwie są aktywnie wykorzystywane.
- Dowody włamań na urządzenia federalne; w części przypadków włamywacze używali zmodyfikowanych poleceń w celu utrzymania trwałej obecności (przetrwanie restartów i aktualizacji).
- Dyrektywa CISA:
- Natychmiast odłącz wszystkie przejęte urządzenia i zgłoś incydent.
- Agencje z urządzeniami objętymi problemem muszą zgłosić lokalizację i sposób wykorzystania zasobów do 2 października.
Dlaczego to ważne
Te urządzenia znajdują się na brzegu krytycznych sieci. Skuteczne wykorzystanie luk może zapewnić głęboki, ukryty dostęp do szpiegostwa lub przygotowania dalszych ataków na administrację rządową i infrastrukturę krytyczną.
Co zrobić teraz (przedsiębiorstwa i agencje)
- Załataj/zaktualizuj ASA do poprawionych wersji Cisco natychmiast.
- Prowadź threat hunting pod kątem wskaźników: nietypowych zmian konfiguracji, nieznanych użytkowników/poleceń, nieoczekiwanego ruchu wychodzącego.
- Sprawdź mechanizmy utrwalania: przejrzyj zmienne rozruchowe i konfiguracje startowe; zweryfikuj integralność po aktualizacjach.
- Segmentacja sieci i kontrola ruchu wychodzącego, aby ograniczyć ścieżki eksfiltracji.
- Zmień poświadczenia i tokeny używane przez urządzenie lub przechodzące przez nie.
- Włącz szczegółowe logowanie i przekazuj logi do swojego SIEM; monitoruj nowe anomalie.
- Miej plan izolacji podejrzanych urządzeń brzegowych i przygotuj kopie zapasowe czystych konfiguracji.
Jeśli Twoja organizacja potrzebuje pomocy w ustalaniu priorytetów poprawek, wykrywaniu mechanizmów utrwalania lub weryfikacji bezpieczeństwa urządzeń brzegowych, możemy pomóc.
