Un resumen profesional sobre la vigilancia coordinada de agencias internacionales frente a ataques a dispositivos de red críticos

Recientemente, un aviso de seguridad conjunto emitido por la Agencia de Seguridad Nacional de EE. UU. (NSA) y más de una docena de agencias aliadas advierte que actores patrocinados por el estado ruso, específicamente la FSB Center 16, continúan apuntando a dispositivos de red mal configurados o con credenciales débiles en infraestructuras críticas a nivel global. El objetivo estratégico es obtener acceso para copiar configuraciones de dispositivos y, posteriormente, exfiltrarlas mediante protocolos simples de transferencia de archivos. Este comportamiento subraya la necesidad de endurecer controles de acceso y segmentar redes para limitar la superficie de ataque.

Puntos clave del aviso:
– Métodos de intrusión: cuando las credenciales por defecto o débiles no funcionan, los atacantes recurren a vulnerabilidades conocidas en equipos de red. En particular, se destacan CVE-2018-0171 (Smart Install DoS/RCE) y CVE-2008-412813 (CSRF en Cisco IOS 12.4), utilizadas como vectores de intrusión o de ejecución de código no autorizado.
– Objetos vulnerables: el foco incluye equipos Cisco, entre otros, con componentes susceptibles a explotación remota. Estas vulnerabilidades, a pesar de su antigüedad, siguen siendo explotadas en campañas actuales, evidenciando una continuidad en TTPs (técnicas, tácticas y procedimientos).
– Proximidad de TTPs con actores chinos: si bien existen similitudes en las técnicas empleadas con grupos asociados a China (conocidos como Salt Typhoon u otros nombres, dependiendo de la atribución), las agencias señalan que la atribución principal apunta a actores rusos descritos con alias como Berserk Bear, Energetic Bear, Crouching Yeti, Dragonfly, Ghost Blizzard o Static Tundra.
– Alcance y cooperación internacional: el informe es fruto de una colaboración entre la NSA, el FBI, la CISA y 15 agencias de países como Australia, Reino Unido, Canadá, Nueva Zelanda, Estonia, Finlandia, Francia e Italia, entre otros. Se acompaña de IoCs (indicadores de compromiso) y mitigaciones para organizaciones afectadas o en riesgo.

Implicaciones para las infraestructuras críticas
– Salvaguardar credenciales: la tendencia subraya la necesidad de políticas de gestión de credenciales sólidas, implementación de autenticación multifactor (MFA) y bloqueo de credenciales por defecto.
– Inventario y endurecimiento de dispositivos: mantener un inventario actualizado de dispositivos de red y aplicar configuraciones seguras, deshabilitando funciones innecesarias y cerrando puertos no requeridos.
– Gestión de vulnerabilidades: aplicar parches y mitigaciones para vulnerabilidades conocidas, incluso aquellas de larga data, y realizar pruebas de penetración regulares para detectar configuraciones débiles o credenciales expuestas.
– Monitorización y respuesta: fortalecer la monitorización de tráfico de gestión y de la exfiltración de datos, y establecer planes de respuesta ante incidentes que contemplen la salida de configuraciones de dispositivos hacia ubicaciones no autorizadas.

Conclusión
La campaña descrita refuerza una vez más la necesidad de enfoques proactivos en la seguridad de redes críticas: menos credenciales por defecto, mayor supervisión de configuraciones y una postura de defensa en profundidad que integre tecnología, procesos y cooperación internacional. Aunque la atribución de actores específicos puede variar, la evidencia colectiva de estas campañas resalta la persistencia de amenazas estatales dirigidas a vectores de red legacy y la importancia de mantener actualizados los controles de seguridad para reducir la superficie de ataque.

from Latest from TechRadar https://ift.tt/eLy09ts
via IFTTT IA