Ciberdelincuentes chinos se han estado sirviendo de distintos métodos para comprometer los modelos de routers de Cisco más populares y usarlos como vía de entrada para monitorizar organizaciones e infiltrarse.
Sus investigadores han podido constatar como los hackers de este colectivo han tomado el control de la infraestructura y usado dichos sistemas para recopilar información y credenciales antes de crear un acceso duradero y ocultar su actividad.
La campaña estaría vinculada a un grupo que la unidad Mandiant de Google ha denominado UNC3886, el cual estuvo implicado en una serie de ataques contra importantes organizaciones estratégicas entre 2022 y 2024.
Para Sygnia, los actores de amenazas han cambiado su modus operandi. En lugar de centrarse en los endpoints, los servidores o las cargas de trabajo en la nube, ahora buscan infectar la infraestructura que se encuentra entre los entornos: routers, hipervisores, dispositivos de acceso, hosts de administración Linux y los sistemas que «generan confianza, accesibilidad y visibilidad».
La última campaña rastreada por la empresa israelí se centra en ataques dirigidos a routers Cisco IOS XR.
La firma informó sobre Fire Ant el año pasado, pero el grupo se ha mantenido activo este año, evolucionando más allá de comprometer hipervisores. No obstante, las empresas afectadas por este colectivo no se han dado a conocer públicamente.
«Cuando un atacante controla los routers, no solo gana alcance, sino también perspectiva», han aclarado los investigadores.
«Fire Ant utilizó la infraestructura de red para observar el entorno desde dentro, recopilando información que podía servir de apoyo para el movimiento lateral, la segmentación de credenciales y la planificación del acceso a través de la red», han sentenciado.
Los routers de Cisco, objetivo recurrente
Desde hace tiempo, gobiernos y compañías especializadas en ciberseguridad vienen alertando de los ataques perpetrados por grupos vinculados al Estado chino contra cortafuegos y routers de Cisco, según recoge The Record Media.
En 2024, se descubrió que Volt Typhoon, un grupo de espionaje asociado al Gobierno de China y responsable de varios ataques de gran impacto contra organizaciones estadounidenses de infraestructura crítica había dirigido sus operaciones contra routers y equipos de red del fabricante americano que habían quedado obsoletos en Estados Unidos, Reino Unido y Australia.
Un año después, investigadores y expertos en seguridad aseguraron que más de un millar de dispositivos de red de Cisco habían sido atacados por actores vinculados al país mandarín en el marco de la campaña conocida como Salt Typhoon.
Además, entre septiembre y diciembre del año pasado, la Unidad 42 de Palo Alto Networks y la agencia federal estadounidense encargada de la ciberdefensa emitieron varias advertencias sobre ataques procedentes de China contra los Cisco Adaptive Security Appliances (ASA). Estos dispositivos son ampliamente utilizados por gobiernos y grandes compañías, ya que permiten centralizar en un único equipo distintas funciones relacionadas con la seguridad de sus redes.
Deja una respuesta