Campanie de hacking susținută de guvernul chinez
Un grup de hackeri susținuți de guvernul chinez exploatează o vulnerabilitate pentru a viza clienții de întreprindere ai Cisco care utilizează unele dintre cele mai populare produse ale companiei. Cisco nu a precizat câți clienți au fost deja compromiși sau câți ar putea rula sisteme vulnerabile, dar cercetătorii în securitate estimează că sunt sute de clienți Cisco care ar putea fi expuși.
Detalii despre vulnerabilitate
Piotr Kijewski, directorul executiv al Shadowserver Foundation, a declarat că expunerea pare să fie „mai degrabă în sute decât în mii sau zeci de mii”. Shadowserver monitorizează internetul pentru campanii de hacking și are o pagină dedicată numărului de sisteme expuse și vulnerabile la defectul identificat de Cisco, cunoscut oficial sub denumirea de CVE-2025-20393. Această vulnerabilitate este considerată zero-day, deoarece a fost descoperită înainte ca Cisco să aibă timp să lanseze corecții. La momentul publicării, India, Thailanda și Statele Unite aveau, în total, zeci de sisteme afectate.
Monitorizarea activității de hacking
Firma de cybersecurity Censys, care monitorizează activitățile de hacking pe internet, a observat un număr limitat de clienți Cisco afectați. Conform unei postări pe blog, Censys a identificat 220 de gateway-uri de email Cisco expuse pe internet, unul dintre produsele cunoscute ca fiind vulnerabile.
Produse afectate și măsuri de remediere
Într-un comunicat de securitate publicat recent, Cisco a menționat că vulnerabilitatea este prezentă în software-ul mai multor produse, inclusiv Secure Email Gateway și Secure Email and Web Manager. Cisco a specificat că aceste sisteme sunt vulnerabile doar dacă sunt accesibile de pe internet și au activată funcția de „carantină spam”. Aceste condiții nu sunt activate implicit, ceea ce explică numărul relativ scăzut de sisteme vulnerabile pe internet.
Recomandări pentru clienți
Cisco nu a răspuns solicitărilor de comentarii pentru a confirma cifrele observate de Shadowserver și Censys. Problema majoră a acestei campanii de hacking este că nu există corecții disponibile. Cisco recomandă clienților să șteargă și să „restaureze un aparat afectat într-o stare sigură” ca o modalitate de a remedia orice breșă. „În cazul unei compromiteri confirmate, reconstruirea aparatelor este, în prezent, singura opțiune viabilă pentru a eradica mecanismele de persistență ale actorilor de amenințare din aparat”, a scris compania în comunicatul său.
Durata campaniei de hacking
Conform brațului de inteligență în amenințări al Cisco, Talos, campania de hacking este activă cel puțin din „noiembrie 2025”.
Impactul acestei campanii de hacking subliniază vulnerabilitățile sistemelor de securitate ale Cisco și riscurile la care sunt expuși clienții săi, având potențialul de a provoca daune semnificative organizațiilor afectate.
