Una reciente campaña de ciberataques, denominada ‘Operation Zero Disco’ por Trend Micro, ha sido descubierta explotando la vulnerabilidad CVE-2025-20352 en el protocolo SNMP (Simple Network Management Protocol) de Cisco IOS e IOS XE. Esta vulnerabilidad de desbordamiento de pila (stack overflow) permite a atacantes remotos autenticados ejecutar código arbitrario mediante el envío de paquetes SNMP manipulados a dispositivos vulnerables.
Los ataques se han centrado principalmente en dispositivos Cisco de las series 9400, 9300 y 3750G, aunque también se han observado intentos de explotar una vulnerabilidad Telnet modificada (CVE-2017-3881) para habilitar el acceso a la memoria. Los atacantes aprovechan sistemas Linux más antiguos que carecen de soluciones de detección y respuesta en endpoints (EDR) para desplegar rootkits Linux que les permiten obtener acceso no autorizado persistente.
Estos rootkits se controlan a través de un componente UDP que actúa como escucha de paquetes entrantes en cualquier puerto. Permiten modificar la memoria del IOSd (daemon de Cisco IOS), crear contraseñas universales, eludir la autenticación AAA, ocultar partes de la configuración en ejecución y manipular las marcas de tiempo para encubrir cambios. La denominación ‘Zero Disco’ proviene del hecho de que el rootkit implanta una contraseña universal que contiene la palabra ‘disco’, una ligera alteración de ‘Cisco’.
Si bien los modelos de switch más recientes incorporan ASLR (Address Space Layout Randomization) que dificulta los intentos de intrusión, los ataques repetidos aún pueden tener éxito.
En INGENIERÍA TELEMÁTICA SAS, entendemos la importancia de mantener sus sistemas Cisco protegidos contra este tipo de vulnerabilidades. Le recomendamos encarecidamente que revise sus sistemas Cisco y aplique los parches de seguridad más recientes. Si requiere asistencia para evaluar su postura de seguridad, implementar soluciones EDR/XDR o fortalecer la seguridad de su infraestructura, no dude en contactarnos a través de nuestro formulario de contacto o por los medios habituales si ya es cliente. Estamos listos para ayudarle a proteger su red.
Fuente original: Ver aquí