Una reciente investigación de ciberseguridad ha revelado detalles sobre una nueva campaña, bautizada como ‘Operation Zero Disco’, que explota la vulnerabilidad CVE-2025-20352 en el software Cisco IOS y IOS XE. Esta vulnerabilidad de desbordamiento de pila en el protocolo SNMP permite a atacantes remotos autenticados ejecutar código arbitrario enviando paquetes SNMP manipulados a dispositivos vulnerables.
Los ataques se han dirigido principalmente a dispositivos Cisco de las series 9400, 9300 y 3750G. Los atacantes también intentaron explotar una vulnerabilidad modificada de Telnet (CVE-2017-3881) para habilitar el acceso a la memoria. La campaña se centra en sistemas Linux más antiguos que carecen de soluciones de detección y respuesta en endpoints (EDR), lo que facilita la instalación de rootkits sin ser detectados.
Estos rootkits permiten a los atacantes ejecutar código de forma remota y obtener acceso persistente no autorizado. Esto se logra estableciendo contraseñas universales e instalando ‘hooks’ en el espacio de memoria del daemon IOSd de Cisco, que se ejecuta como un proceso de software dentro del kernel de Linux. Los atacantes utilizan una herramienta de control UDP para ejecutar diversas acciones, como modificar contraseñas, omitir la autenticación AAA y ocultar cambios en la configuración del sistema.
La campaña ‘Zero Disco’ debe su nombre a la práctica de los atacantes de establecer una contraseña universal que incluye la palabra ‘disco’ (una ligera variación de ‘Cisco’). Si bien los modelos de switches más nuevos ofrecen cierta protección a través de la Aleatorización del Diseño del Espacio de Direcciones (ASLR), los intentos repetidos de intrusión aún pueden tener éxito.
En INGENIERÍA TELEMÁTICA SAS, recomendamos encarecidamente a las organizaciones que utilizan dispositivos Cisco IOS y IOS XE a aplicar los parches de seguridad más recientes y a fortalecer sus defensas con soluciones de detección y respuesta en endpoints. La protección proactiva y la monitorización continua son esenciales para mitigar el riesgo de ataques como ‘Operation Zero Disco’.
Si su organización necesita ayuda para evaluar su postura de seguridad, implementar parches o mejorar su capacidad de detección y respuesta ante incidentes, no dude en contactarnos a través de nuestro formulario de contacto o a través de sus canales habituales si ya es cliente. En INGENIERÍA TELEMÁTICA SAS, estamos comprometidos a proteger su infraestructura con soluciones robustas y personalizadas.
Fuente original: Ver aquí