Una vulnerabilidad recientemente parcheada (CVE-2025-20352) en dispositivos de red Cisco está siendo explotada por actores maliciosos para instalar rootkits y comprometer sistemas Linux vulnerables. El fallo de seguridad reside en el protocolo SNMP (Simple Network Management Protocol) en Cisco IOS y IOS XE, permitiendo la ejecución remota de código si el atacante posee privilegios de root.
Según Trend Micro, los ataques han tenido como objetivo dispositivos Cisco de las series 9400, 9300 y 3750G, desplegando rootkits en sistemas Linux antiguos que carecen de soluciones de detección y respuesta en el endpoint. Cisco ya había advertido que la vulnerabilidad se estaba explotando como zero-day.
Los investigadores de Trend Micro han bautizado estos ataques como ‘Operation Zero Disco’, debido a que el malware establece una contraseña de acceso universal que contiene la palabra ‘disco’. Los atacantes también intentaron explotar CVE-2017-3881, una vulnerabilidad de siete años en el protocolo de gestión de clústeres en IOS y IOS XE.
El rootkit instalado en los dispositivos Cisco vulnerables cuenta con un controlador UDP que puede escuchar en cualquier puerto, alternar o eliminar registros, eludir las ACL AAA y VTY, habilitar/deshabilitar la contraseña universal, ocultar elementos de configuración en ejecución y restablecer la marca de tiempo de la última escritura.
En una simulación de ataque, los investigadores demostraron la capacidad de deshabilitar el registro, suplantar la IP de un waystation a través de ARP spoofing, evitar las reglas internas del firewall y moverse lateralmente entre VLANs. Aunque los switches más nuevos son más resistentes a estos ataques gracias a la protección ASLR (Address Space Layout Randomization), Trend Micro advierte que no son inmunes y podrían ser comprometidos mediante ataques persistentes.
Tras el despliegue del rootkit, el malware instala varios ‘hooks’ en el IOSd, lo que provoca que los componentes sin archivos desaparezcan después de un reinicio. Actualmente, no existe una herramienta fiable para detectar switches Cisco comprometidos por estos ataques, por lo que se recomienda realizar una investigación de bajo nivel del firmware y la región ROM en caso de sospecha.
Trend Micro ha publicado una lista de Indicadores de Compromiso (IoCs) asociados con ‘Operation Zero Disco’.
En INGENIERÍA TELEMÁTICA SAS, recomendamos encarecidamente revisar la configuración de sus dispositivos Cisco y aplicar los parches de seguridad disponibles. Si tiene dudas o necesita asistencia para proteger su infraestructura, no dude en contactarnos a través de nuestro formulario de contacto o por los medios habituales si ya es cliente.
Fuente original: Ver aquí