DIVD: Zo'n 800 Nederlandse Cisco-systemen van implant voorzien via kritieke zeroday

Net iets minder dan 800 Cisco-systemen in Nederland zijn door aanvallers nu voorzien van een 'implant', waarmee ze de macht over die netwerkapparaten overnemen. Dit is gebeurd via een kritieke kwetsbaarheid waar het NCSC en Cisco eerder deze week voor waarschuwden. Het Nederlandse aantal plus veel hogere wereldwijde cijfers komen van het Dutch Institute for Vulnerability Disclosure (DIVD) in antwoord op vragen van AG Connect.

Lees ook: Fraude met oude, omgekatte Cisco-apparatuur uit China

Eveline MeijerRedacteurMeer van deze auteur

Melding dat systeem gehackt is. — Shutterstock

De aanvallers komen binnen via de nieuw gevonden kwetsbaarheid CVE-2023-20198 in Cisco's netwerkbesturingssysteem IOS XE. Via dat gat kunnen aanvallers zelf een account aanmaken op het systeem. Dat account geeft hen het hoogste toegangsniveau (level 15) en bezorgt dan volledige controle geeft over een getroffen systeem. Deze kwetsbaarheid heeft dan ook de hoogste score wat betreft de ernst van de zaak gekregen, namelijk 10 op een schaal van 10.

Tweetrapshack

Maar de hackaanval die in volle gang is, stopt daar niet, ontdekten beveiligingsonderzoekers van Cisco's eigen securitytak Talos. Eenmaal binnen misbruiken kwaadwillenden óók een oudere fout - CVE-2021-1435 - om een zogeheten 'implant' te installeren. Daarmee kan de aanvaller waarschijnlijk internetverkeer monitoren, beschermde netwerken binnenkomen en allerlei man-in-the-middle-aanvallen uitvoeren.

Opvallend hierbij is dat deze tweede, oudere fout al in 2021 van een patch voorzien is. Maar zelfs gepatchte systemen kunnen van een implant voorzien worden, aldus de onderzoekers. Hoe de aanvallers dit voor elkaar krijgen, is nu nog onduidelijk.

46.000 systemen gehackt

Aanvallers zijn dan ook veelvuldig bezig met het binnendringen van systemen, om die vervolgens van een implant te voorzien. Onderzoekers van het Amerikaanse beveiligingsbedrijf VulnCheck spraken eerder over zeker 10.000 getroffen systemen.

Maar het DIVD laat na vragen van AG Connect weten dat dit aantal alweer achterhaald is. "Onze eigen cijfers komen uit op een bescheiden 46.000 implants wereldwijd (na deduplicatie)", aldus onderzoeker Max van der Horst van het DIVD. "Best een serieuze zaak, dus." Wereldwijd zouden zeker 80.000 systemen kwetsbaar kunnen zijn, schatte VulnCheck eerder al in.

Ook in Nederland worden Cisco-systemen dus getroffen door deze aanvalsgolf. Volgens het DIVD zijn iets minder dan 800 implants gedetecteerd op Nederlandse systemen, maar dat aantal groeit ieder uur. "Ik weet dat Talos/Cisco zelf al een flink aantal meldingen aan het NCSC heeft gemaakt en dat ze dit voor andere landen ook doen."

Geen patch, wel maatregelen

Een patch voor het probleem is nog niet beschikbaar. Wel heeft Cisco een aantal risicobeperkende maatregelen aanbevolen:

Schakel de webbeheerinterface uit op alle op IOS-XE gebaseerde apparaten of zorg dat deze niet via het internet bereikbaar zijn.
Controleer de configuratie en het bestandssysteem op tekenen van compromittatie.
Controleer eventuele syslog-berichten op verdachte verkeersstromen.
Overweeg om de betrokken apparaten opnieuw op te starten aangezien de (mogelijk aangebrachte) webshell niet persistent is.

Organisaties kunnen daarnaast de scanner van VulnCheck - die op GitHub vrijelijk beschikbaar is gesteld - gebruiken om te controleren of zij het slachtoffer zijn geworden van deze ernstige aanval.