Un grupo de atacantes vinculados a China está explotando activamente una vulnerabilidad de tipo zero-day en productos de seguridad de correo electrónico de Cisco, uno de los partners tecnológicos más usados por grandes empresas y administraciones públicas de todo el mundo.
Una vulnerabilidad de día cero es un fallo de seguridad que comienza a explotarse antes de que el fabricante tenga tiempo de publicar un parche para corregirlo. Esto convierte este tipo de ataques en especialmente peligrosos, ya que las víctimas no pueden defenderse aplicando una actualización inmediata y deben recurrir a medidas provisionales para reducir el riesgo.
En este caso, el problema afecta al software AsyncOS, que utilizan varios productos de Cisco destinados a proteger el email corporativo frente a spam, malware y ataques de suplantación. Estos sistemas suelen ocupar una posición crítica dentro de las redes empresariales, ya que gestionan grandes volúmenes de correos y datos sensibles. El fallo permite a los atacantes ejecutar comandos con privilegios máximos, lo que equivale a tener acceso total al sistema comprometido.
Cisco ha confirmado que la vulnerabilidad está siendo explotada de forma activa y que los ataques han sido atribuidos a un grupo identificado como UAT-9686.
Según el gigante TIC, las técnicas empleadas por este actor de amenazas guardan similitudes con las de otros actores conocidos desde hace años por llevar a cabo campañas de ciberespionaje alineadas con los intereses del Estado chino. Estos atacantes suelen centrarse en objetivos estratégicos como gobiernos, grandes corporaciones, empresas tecnológicas o infraestructuras críticas.
«El 10 de diciembre, Cisco detectó una nueva campaña de ciberataque dirigida a un subconjunto limitado de dispositivos con ciertos puertos abiertos a internet que ejecutan el software Cisco AsyncOS para Cisco Secure Email Gateway y Cisco Secure Email and Web Manager. Este ataque permite a los cibercriminales ejecutar comandos arbitrarios con privilegios de root en el sistema operativo subyacente de un dispositivo afectado. La investigación en curso ha revelado evidencia de un mecanismo de persistencia implementado por los cibercriminales para mantener cierto control sobre los dispositivos comprometidos», han señalado en un aviso de seguridad.
Ante la carencia de parche en el momento de detectarse la explotación, Cisco y las agencias de ciberseguridad han recomendado medidas de emergencia, como limitar o bloquear el acceso desde Internet a las interfaces afectadas y, en los casos más graves, reconstruir completamente los sistemas comprometidos para eliminar cualquier acceso persistente que los atacantes pudieran haber dejado instalado.
Esta sugerencia de reconstruir los dispositivos desde cero refleja la gravedad del ataque. Cuando un actor consigue privilegios de administrador en un sistema crítico, resulta muy difícil garantizar que no haya dejado puertas traseras ocultas. Por ello, en este tipo de incidentes se opta a menudo por reinstalar completamente el sistema, una operación costosa y compleja para muchas organizaciones.
Parte de una tendencia
Este ataque no es un caso aislado. En los últimos años se ha observado un incremento notable en el uso de vulnerabilidades zero-day por parte de grupos vinculados a distintos Estados, especialmente en productos empresariales ampliamente desplegados. Plataformas de virtualización, soluciones VPN y herramientas de gestión remota han sido objetivos recurrentes, en muchos casos explotados durante meses antes de que las víctimas fueran conscientes del problema.
La tendencia apunta a que los atacantes buscan comprometer tecnologías que actúan como ‘puertas de entrada’ a las redes corporativas. Una vez dentro, pueden moverse lateralmente, robar información sensible o mantener un acceso prolongado para futuras operaciones de espionaje o sabotaje.
Deja una respuesta