Группа ArcaneDoor вновь атаковала межсетевые экраны Cisco

Недавно выявленная кибератака использовала технику Cisco Adaptive Security Appliance (ASA) в сложной операции, связанной со шпионской группой ArcaneDoor. Она была направлена на устройства Cisco ASA серии 5500-X, работающие под управлением программного обеспечения Cisco Secure Firewall ASA с включёнными VPN-сервисами.

Сам вендор с высокой степенью уверенности заявил, что эта активность связана с той же группировкой, что и кампания ArcaneDoor, о которой сообщалось в начале 2024 года. ArcaneDoor была вовлечена в акции, нацеленные на устройства периметральной сети как на точки вторжения. Целью же последней атаки было внедрение вредоноса, выполнение команд и кража данных, полагают в Cisco.

Компания установила, что злоумышленники эксплуатировали множество уязвимостей нулевого дня и применяли сложные методы обхода защиты, такие как отключение ведения журнала, перехват команд интерфейса командной строки (CLI) и преднамеренное выведение устройств из строя для предотвращения диагностического анализа. Также в ходе исследования скомпрометированной техники было обнаружено, что хакеры модифицировали ROM Monitor (ROMMON), чтобы обеспечить сохранение уязвимости после перезагрузок и обновлений софта.

Эксперты увидели в последней кампании ещё один пример действий «госхакеров», атакующих периметр сети. Поскольку такие устройства являются критически важным путём передачи данных в сеть и из неё, они должны регулярно и оперативно обновляться. Для устранения уязвимостей клиентам рекомендуется перейти на соответствующую исправленную версию ПО, указанную в руководстве. В случае предполагаемой или подтверждённой компрометации любого межсетевого экрана Cisco все элементы его конфигурации следует считать ненадёжными.

Технический директор Национального центра кибербезопасности Великобритании Олли Уайтхаус прокомментировал случившееся так: «Технологии, срок службы которых истёк, представляют значительный риск для организаций. Системы и устройства должны быть оперативно переведены на современные версии для устранения уязвимостей и повышения устойчивости».

Усам Оздемиров