FBI warns of Russian hackers exploiting 7-year-old Cisco flaw

Cyberattaques Russes : Exploitation d’une Vulnérabilité Cisco Ancienne

Des groupes de pirates informatiques affiliés au Service fédéral de sécurité russe (FSB), identifiés sous le nom de Berserk Bear (ou Blue Kraken, Dragonfly, etc.), ciblent activement des organisations d’infrastructures critiques à l’échelle mondiale. Ces attaques exploitent une faille de sécurité vieille de sept ans présente dans les logiciels Cisco IOS et IOS XE, spécifiquement la fonction Smart Install.

Points Clés :

• Le FBI a émis un avertissement concernant les activités de Berserk Bear.
• Le groupe de pirates, lié au Centre 16 du FSB, cible des organisations d’infrastructures critiques.
• L’exploitation de la vulnérabilité CVE-2018-0171 permet un accès non authentifié et un contrôle à distance des appareils Cisco.
• Les acteurs malveillants collectent des fichiers de configuration et modifient les paramètres pour obtenir un accès non autorisé.
• Leurs intérêts se portent sur les protocoles et applications liés aux systèmes de contrôle industriels (ICS).
• Le groupe a également ciblé des entités gouvernementales locales et des organisations du secteur de l’aviation dans le passé.
• Cisco Talos a observé l’utilisation d’outils personnalisés pour maintenir la persistance et échapper à la détection, ainsi que le firmware SYNful Knock.

Vulnérabilité :

• CVE-2018-0171 : Vulnérabilité critique dans la fonctionnalité Smart Install des logiciels Cisco IOS et Cisco IOS XE. Son exploitation permet à des acteurs non authentifiés de redémarrer à distance des appareils non corrigés, entraînant potentiellement un déni de service (DoS) ou l’exécution de code arbitraire.

Recommandations :

• Application immédiate des correctifs : Les administrateurs sont fortement encouragés à sécuriser leurs appareils Cisco dès que possible pour se prémunir contre ces attaques.
• Durcissement de la sécurité : Il est crucial de renforcer la sécurité des appareils réseau, car d’autres acteurs parrainés par des États pourraient mener des campagnes similaires.
• Désactivation de Smart Install : Les organisations doivent s’assurer que la fonctionnalité Smart Install est désactivée sur les appareils qui n’en ont pas besoin, car elle reste une cible privilégiée pour les acteurs malveillants.

Source