I ricercatori collegano l’intrusione a Cisco SD-WAN ad attività di peering fraudolento prima della divulgazione pubblica

Secondo i ricercatori di sicurezza, gli attaccanti potrebbero aver utilizzato il peering fraudolento per raggiungere l’ambiente Cisco SD-WAN della vittima e aumentare i privilegi fino ai livelli di amministratore e root. I risultati suggeriscono che l’intrusione potrebbe essersi verificata prima che la vulnerabilità alla base dell’attacco fosse divulgata pubblicamente.

Secondo i ricercatori, la tecnica prevedeva la creazione di una connettività non autorizzata che consentiva all’autore della minaccia di interagire con l’infrastruttura SD-WAN come se facesse parte di un percorso di rete affidabile. Da quel punto, l’attaccante avrebbe ottenuto un accesso elevato che avrebbe potuto consentire un controllo più approfondito dei dispositivi interessati.

Le piattaforme SD-WAN vengono spesso implementate per centralizzare la gestione del traffico tra reti distribuite, il che le rende obiettivi interessanti per gli attaccanti alla ricerca di un’ampia capacità di accesso. Se un avversario riesce a compromettere questo livello, potrebbe essere in grado di osservare il traffico, modificare le configurazioni o penetrare ulteriormente nell’ambiente dell’organizzazione.

Ciò che gli investigatori ritengono sia accaduto

• Secondo le accuse, il peering fraudolento sarebbe stato utilizzato per stabilire una connessione all’ambiente preso di mira.
• Tale accesso sembra essere stato sfruttato contro dispositivi Cisco SD-WAN.
• Si ritiene che gli attaccanti abbiano ottenuto privilegi amministrativi e, in alcuni casi, il controllo a livello root.

L’attività segnalata evidenzia i rischi creati dall’esposizione dell’infrastruttura di rete a sofisticate manipolazioni degli accessi, soprattutto quando i problemi di sicurezza non sono ancora stati identificati pubblicamente. Sottolinea inoltre l’importanza di monitorare le relazioni di peering insolite, rafforzare i controlli degli accessi e analizzare i log dei dispositivi alla ricerca di modifiche inattese ai privilegi.

Alle organizzazioni che utilizzano prodotti SD-WAN viene generalmente consigliato di mantenere aggiornati firmware e software, limitare le interfacce di gestione, applicare sistemi di autenticazione robusti e verificare la presenza di anomalie nei percorsi di rete. Sebbene l’intera portata dell’incidente non sia stata resa nota, il caso accresce la preoccupazione per gli attacchi rivolti alle tecnologie edge e infrastrutturali che sono al centro della connettività aziendale.