В настоящий момент проводится мощная ботнет-атака. Все адреса в Интернете сканируются на предмет наличия свежей уязвимости в программном обеспечении Cisco IOS, позволяющей удаленно выполнять команды на устройствах Cisco. Бот заходит на устройство и удаляет конфигурацию, записывая вместо нее свои файлы.
Уязвимость получила идентификатор CVE-2018-0171 и набрала 9,8 балла по шкале CVSS. Если у вас только что выключался Интернет либо выключится в ближайшее время, то с большой долей вероятности это связано с вышеописанной уязвимостью. Проблемы работы Сети отмечаются уже сейчас. В том числе и у команды Hi-News.ru.
Команда Cisco опубликовала сообщение, согласно которому сотни тысяч устройств в Сети уязвимы благодаря технологии Smart Install. Компания предупредила объекты критической инфраструктуры о рисках использования уязвимых устройств.
Технология Smart Install позволяет автоматизировать процесс первоначальной настройки конфигурации и загрузки актуального образа операционной системы для нового сетевого коммутатора.
О проблеме всплеска сканирований, в попытке обнаружить незащищенные устройства, на которых активирована Smart Install, компания Cisco сообщала еще в феврале прошлого года. На тот момент говорилось, что хакерские группировки могут использовать Smart Install для получения копий конфигураций затронутых устройств клиентов. Кроме того, сообщалось, что злоумышленники использовали инструмент с открытым исходным кодом для сканирования в поиске уязвимых систем. Этот инструмент называется Smart Install Exploitation Tool (SIET).
Теперь же Cisco обратилась с новым заявлением:
«Cisco в курсе значительного роста числа попыток сканирования в поисках уязвимых устройств с активированной Smart Install. В результате успешной атаки злоумышленник может изменить файл конфигурации, принудительно перезагрузить устройство, загрузить на устройство новое изображение IOS, выполнить команды CLI с высокими правами».
По мнению экспертов, некоторые из этих атак были проведены группировкой, известной как Dragonfly, Crouching Yeti и Energetic Bear. В связи с этим администраторам рекомендуется как можно скорее установить обновление или отключить в настройках устройства технологию SMI, предназначенную для автоматизации начальной настройки и загрузки прошивки для новых коммутаторов.
Проблема связана с тем, что многие владельцы не настраивают или не отключают протокол SMI, и клиент продолжает ожидать команд «установки/настройки» в фоновом режиме. Воспользовавшись уязвимостью, злоумышленник может модифицировать настройки TFTP-сервера и извлечь конфигурационные файлы через протокол TFTP, изменить общий конфигурационный файл коммутатора, заменить образ ОС IOS, создать локальные учетные записи и предоставить возможность атакующим авторизоваться на устройстве и выполнить любые команды.
Для эксплуатации уязвимости атакующему нужно обратиться к TCP-порту 4786, который открыт по умолчанию. Сообщается, что проблема может использоваться и в качестве DoS-атаки, уводя уязвимые устройства в бесконечный цикл перезагрузок.
По данным Cisco Talos, в настоящее время в Сети доступно 168 тысяч коммутаторов с поддержкой SMI. Однако по данным аналитической группы Embedi в общей сложности в Интернете обнаружено более 8,5 миллионов устройств с открытым портом 4786, и заплатки, устраняющие критическую уязвимость, не установлены примерно на 250 000 из них.
Аналитики Embedi проводили тестирование уязвимости на устройствах Catalyst 4500 Supervisor Engine, а также коммутаторах серий Cisco Catalyst 3850 и Cisco Catalyst 2960, однако, вероятно, речь идет об уязвимости всех устройств, работающих на Smart Install, а именно о:
- Catalyst 4500 Supervisor Engines;
- Catalyst 3850 Series;
- Catalyst 3750 Series;
- Catalyst 3650 Series;
- Catalyst 3560 Series;
- Catalyst 2960 Series;
- Catalyst 2975 Series;
- IE 2000;
- IE 3000;
- IE 3010;
- IE 4000;
- IE 4010;
- IE 5000;
- SM-ES2 SKUs;
- SM-ES3 SKUs;
- NME-16ES-1G-P;
- SM-X-ES3 SKUs.
Команда Cisco опубликовала ряд инструкций для администраторов по отключению протокола на уязвимых устройствах, а также выпустила инструмент для сканирования локальных сетей или интернета для поиска уязвимых устройств.