Vulnerabilidad CVE-2018-0171 bajo ataque activo
Recientemente, Cisco ha confirmado que el grupo de amenazas conocido como Salt Typhoon, presuntamente patrocinado por el estado chino, ha explotado la vulnerabilidad CVE-2018-0171 en dispositivos de red para infiltrarse en importantes empresas de telecomunicaciones en Estados Unidos. Además, los atacantes han utilizado credenciales legítimas obtenidas de las víctimas para mantener un acceso prolongado, en algunos casos durante más de tres años.
Detalles de la Vulnerabilidad CVE-2018-0171
La vulnerabilidad CVE-2018-0171 reside en la función Smart Install Client de los dispositivos Cisco. Esta falla permite a un atacante remoto no autenticado ejecutar código arbitrario o causar una recarga inesperada del dispositivo afectado, lo que podría resultar en una denegación de servicio. Salt Typhoon ha aprovechado esta vulnerabilidad para obtener acceso inicial a las redes objetivo.
Análisis del Impacto
El acceso no autorizado a través de esta vulnerabilidad ha permitido a Salt Typhoon:
Persistencia Prolongada: Mantenerse en las redes comprometidas durante más de tres años sin ser detectados.
Acceso a Información Sensible: Capturar tráfico SNMP, TACACS y RADIUS, incluyendo claves secretas utilizadas entre dispositivos de red y servidores de autenticación, lo que facilita la obtención de credenciales adicionales.
Movimiento Lateral: Utilizar dispositivos comprometidos como puntos de pivote para infiltrarse en otras redes de telecomunicaciones, empleando técnicas de “living-off-the-land” que aprovechan la infraestructura existente para evitar la detección.
Acciones de Mitigación
Para reducir el riesgo asociado con esta vulnerabilidad y las tácticas empleadas por Salt Typhoon, se recomiendan las siguientes medidas:
Actualización de Firmware: Asegurar que todos los dispositivos Cisco estén actualizados con las últimas versiones de firmware que corrigen la vulnerabilidad CVE-2018-0171.
Gestión de Credenciales: Implementar políticas estrictas de contraseñas, incluyendo el uso de contraseñas fuertes y únicas, y cambiar regularmente las credenciales de acceso.
Monitoreo de Tráfico: Supervisar activamente el tráfico de red en busca de actividades sospechosas, como la captura no autorizada de tráfico SNMP, TACACS y RADIUS.
Restricción de Accesos: Limitar el acceso SSH y otros servicios de administración a direcciones IP confiables y utilizar autenticación multifactor siempre que sea posible.
Auditorías de Seguridad: Realizar evaluaciones de seguridad periódicas para identificar y remediar configuraciones débiles o vulnerabilidades en la red.
Registro y Monitoreo de Logs: Implementar soluciones de gestión de registros que detecten y alerten sobre actividades inusuales, y asegurar que los registros sean almacenados de manera segura para prevenir su manipulación.
La implementación de estas medidas es crucial para proteger la infraestructura de telecomunicaciones contra actores malintencionados como Salt Typhoon y garantizar la integridad y confidencialidad de las comunicaciones.
Referencias
- https://www.wired.com/story/chinas-salt-typhoon-spies-are-still-hacking-telecoms-now-by-exploiting-cisco-routers?utm_source=chatgpt.com
- https://www.wsj.com/tech/cybersecurity/typhoon-china-hackers-military-weapons-97d4ef95?utm_source=chatgpt.com
- https://www.reuters.com/business/media-telecom/chinese-hack-us-telecoms-compromised-more-firms-than-previously-known-wsj-says-2025-01-05/?utm_source=chatgpt.com
