Velvet Ant sfrutta exploit Cisco per attacchi aziendali

Velvet Ant sfrutta exploit Cisco per attacchi aziendali

All’inizio del 2024, il gruppo di hacker cinesi noto come Velvet Ant ha colpito nuovamente, sfruttando una vulnerabilità recentemente scoperta negli apparati di rete Cisco. Questa vulnerabilità, identificata come CVE-2024-20399 con un punteggio CVSS di 6,7, ha permesso al gruppo di ottenere un ampio controllo sui sistemi compromessi, facilitando sia il furto di dati che il mantenimento di un accesso persistente alle reti aziendali. Questo attacco segna un punto di svolta nella guerra informatica, dimostrando l’elevata competenza tecnica e l’abilità di Velvet Ant nel superare le misure di sicurezza più avanzate.

Vulnerabilità CVE-2024-20399: una minaccia emergente

La vulnerabilità CVE-2024-20399 è stata scoperta all’inizio di luglio 2024, attirando immediatamente l’attenzione degli esperti di sicurezza di tutto il mondo. Questa falla nei dispositivi Cisco ha permesso a Velvet Ant di eseguire comandi arbitrari sui sistemi Linux che operano sotto la shell NX-OS. Per sfruttare con successo questa vulnerabilità, gli hacker avevano bisogno di credenziali di amministratore valide per accedere alla console di gestione degli switch Cisco. Una volta ottenuto l’accesso, il gruppo ha potuto implementare malware personalizzati, in grado di nascondersi nel sistema operativo e agire indisturbati.

Il contesto dell’attacco: una campagna pluriennale

L’attacco non è stato un evento isolato. Secondo gli esperti di Sygnia, Velvet Ant ha condotto una campagna pluriennale diretta contro diverse organizzazioni nell’Asia orientale. Durante questa campagna, il gruppo ha utilizzato dispositivi F5 BIG-IP legacy per stabilire un accesso persistente agli ambienti compromessi. Questa strategia di infiltrazione ha permesso a Velvet Ant di spostarsi tra diversi sistemi senza essere rilevato, passando dall’infezione di nuovi sistemi Windows a server e dispositivi di rete legacy.

Tabella 1: Comparazione degli attacchi Velvet Ant

Il malware VELVETSHELL: una combinazione letale

Una delle chiavi del successo di Velvet Ant è l’utilizzo del malware VELVETSHELL, una combinazione di due potenti strumenti open source: la backdoor Unix Tiny SHell e l’utilità proxy 3proxy. Questa combinazione permette al malware di nascondersi a livello del sistema operativo, eseguendo comandi arbitrari, scaricando e caricando file, e stabilendo tunnel per il traffico di rete. VELVETSHELL è progettato per essere estremamente difficile da rilevare, rendendo quasi impossibile per le soluzioni di sicurezza tradizionali individuarlo e neutralizzarlo.

Il ruolo degli switch Cisco nell’attacco

Gli switch Cisco sono stati al centro dell’ultimo attacco di Velvet Ant. Questi dispositivi, che giocano un ruolo cruciale nelle infrastrutture di rete aziendali, sono stati sfruttati per ottenere un accesso profondo alle reti bersaglio. Velvet Ant ha utilizzato la vulnerabilità CVE-2024-20399 per compromettere questi switch, permettendo loro di eseguire operazioni di ricognizione e lanciare script dannosi che alla fine hanno portato all’infiltrazione di VELVETSHELL. Questo approccio ha permesso agli hacker di ottenere un controllo quasi totale sulle reti compromesse, esponendo le aziende a gravi rischi di sicurezza.

Tabella 2: Funzionalità del Malware VELVETSHELL

L’evoluzione delle tattiche di Velvet Ant

Velvet Ant ha dimostrato una notevole capacità di adattamento, evolvendo le sue tattiche in risposta ai cambiamenti nel panorama della sicurezza informatica. In passato, il gruppo si concentrava principalmente sull’infezione di sistemi Windows, ma con l’aumento delle misure di sicurezza su questi sistemi, Velvet Ant ha iniziato a rivolgere la sua attenzione a server e dispositivi di rete legacy. Questa strategia ha permesso al gruppo di aggirare i sistemi di rilevamento tradizionali, che spesso non sono progettati per monitorare i dispositivi di rete con la stessa attenzione riservata ai server e ai client.

Le implicazioni per la sicurezza aziendale

Gli attacchi di Velvet Ant evidenziano l’alto grado di rischio associato all’uso di apparecchiature e applicazioni di terze parti su una rete aziendale. Questi dispositivi, come gli switch Cisco compromessi, sono spesso una “scatola nera” per gli amministratori di rete, poiché il loro funzionamento interno è in gran parte nascosto all’utente. Questo li rende un bersaglio attraente per gli aggressori, che possono sfruttare vulnerabilità sconosciute o non ancora corrette per infiltrarsi nelle reti aziendali.

La risposta di Cisco: aggiornamenti di sicurezza e mitigazioni

In risposta alla scoperta della vulnerabilità CVE-2024-20399, Cisco ha rilasciato una serie di aggiornamenti di sicurezza per mitigare il problema. Tuttavia, come dimostrato da Velvet Ant, anche con gli aggiornamenti in atto, la sicurezza assoluta non può mai essere garantita. È essenziale che le organizzazioni implementino pratiche di sicurezza proattive, tra cui la revisione regolare delle configurazioni di rete, l’adozione di strumenti di rilevamento avanzati e l’educazione continua del personale sulla sicurezza informatica.

Tabella 3: Aggiornamenti di Sicurezza Cisco

La minaccia dei gruppi APT: un panorama in evoluzione

Velvet Ant è solo uno dei numerosi gruppi di minaccia persistente avanzata (APT) che operano a livello globale. Questi gruppi sono noti per le loro sofisticate capacità tecniche e per la loro abilità nel condurre campagne a lungo termine contro obiettivi specifici. La capacità di Velvet Ant di sfruttare vulnerabilità zero-day e di eludere le difese avanzate dimostra la necessità di un approccio alla sicurezza che vada oltre le misure tradizionali. Le aziende devono essere pronte a confrontarsi con attori della minaccia che sono in grado di adattarsi rapidamente e di utilizzare nuove tattiche per raggiungere i loro obiettivi.

Il futuro della sicurezza informatica aziendale

Alla luce degli attacchi di Velvet Ant, diventa chiaro che il futuro della sicurezza informatica aziendale richiederà un cambiamento di paradigma. Le soluzioni di sicurezza dovranno evolversi per affrontare non solo le minacce note, ma anche quelle emergenti. Questo richiederà una maggiore collaborazione tra le aziende, i fornitori di soluzioni di sicurezza e le agenzie governative, nonché un continuo investimento in ricerca e sviluppo per anticipare e contrastare le nuove minacce.

Tabella 4: Evoluzione delle Minacce APT

L’importanza della cybersecurity nella protezione delle reti aziendali

La protezione delle reti aziendali è diventata una priorità assoluta in un mondo sempre più interconnesso. Gli attacchi come quelli condotti da Velvet Ant dimostrano quanto sia importante avere una visione completa e in tempo reale delle attività di rete. Le soluzioni di monitoraggio e rilevamento avanzate, combinate con pratiche di sicurezza rigorose, possono aiutare a prevenire gli attacchi prima che causino danni irreparabili.

Conclusione: Velvet Ant sfrutta exploit Cisco per attacchi aziendali

In conclusione, l’attacco di Velvet Ant sfruttando la vulnerabilità CVE-2024-20399 negli switch Cisco rappresenta un campanello d’allarme per tutte le organizzazioni. La capacità di Velvet Ant di infiltrarsi in reti aziendali e mantenere un accesso persistente sottolinea la necessità di un approccio alla sicurezza che sia proattivo e dinamico. Con l’evolversi delle minacce, le aziende devono essere pronte ad affrontare un panorama in continua evoluzione, investendo in soluzioni di sicurezza avanzate e rafforzando le proprie difese contro attacchi sempre più sofisticati.

Il futuro della sicurezza informatica è incerto, ma ciò che è chiaro è che gruppi come Velvet Ant continueranno a cercare nuove vulnerabilità da sfruttare. Solo attraverso una vigilanza costante e un impegno a migliorare continuamente le difese, le aziende possono sperare di proteggersi da queste minacce emergenti.