近日,國內外多家媒體曝光了包括俄羅斯和伊朗在內的多個Cisco設備被黑客入侵,被攻擊的Cisco設備配置文件 startup.config 會被覆蓋為“Don't mess with our elections.... -JHTusafreedom_jht@tutanota.com”,并可導致Cisco設備重啟斷網。如下圖:

很多安全研究組織及媒體猜測這次黑客事件與思科在2018年03月28日發(fā)布安全漏洞公告修復編號為 CVE-2018-0171 相關( https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180328-smi2 ) 。該漏洞是由于Cisco IOSSmart Install Client 在 TCP(4786) 端口與 Smart Install Director 進行通信時存在緩沖區(qū)溢出導致任意代碼執(zhí)行。

據了解,針對該漏洞知道創(chuàng)宇404實驗室漏洞應急團隊在2018/03/29就進行了漏洞應急并發(fā)出漏洞簡報預警,同時利用了網絡空間搜索引擎ZoomEye針對端口 TCP(4786) 及協(xié)議進行了全球探測掃描,并通過蜜罐等手段持續(xù)關注。根據知道創(chuàng)宇404實驗室漏洞應急團隊持續(xù)關注跟進結果顯示,此次“俄羅斯和伊朗在內的多個 Cisco 設備配置文件被惡意篡改”事件目前沒有找到與漏洞 CVE-2018-0171 相關的證據,暫時不排除該漏洞被利用可能。

另外404實驗室還注意到此次攻擊可能與俄羅斯安全研究員在2016年在黑客大會 zeronights 上發(fā)布的研究成果有關:https://2016.zeronights.ru/wp-content/uploads/2016/12/CiscoSmartInstall.v3.pdf。該議題詳細介紹了通過 Cisco Smart Install Protocol 入侵 Cisco 設備并發(fā)布了相關攻擊程序,該程序完全可以實現(xiàn)Cisco 設備的配置文件被篡改導致重啟斷網、甚至完全控制該設備,跟“俄羅斯和伊朗在內的多個 Cisco 設備配置文件被惡意篡改”事件效果一致。

值得注意的是思科在于2017年2月14日思科官方發(fā)布的安全建議預警相關 《Cisco Smart Install Protocol Misuse》(https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170214-smi )公告中并沒有直接修復這個問題,而只是建議關閉或者限制相關端口通訊。

從知道創(chuàng)宇404實驗室提供的網絡空間搜索引擎 ZoomEye 針對該協(xié)議的探測結果顯示,截止至4月9日全球仍然有144581的思科設備開放了 Cisco Smart Install 端口,其中美國暴露的設備數(shù)量位居榜首,占據28.26%,中國占據10.59%,日本占據6.28%。如下圖:

知道創(chuàng)宇404實驗室也再次發(fā)布高危漏洞預警,提醒相關網管人員警惕Cisco Smart Install漏洞并禁用相關端口,詳細方案可聯(lián)系知道創(chuàng)宇404實驗室發(fā)布的相關報告。

生成海報

免責聲明：本網站內容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網站出現(xiàn)的信息，均僅供參考。本網站將盡力確保所提供信息的準確性及可靠性，但不保證有關資料的準確性及可靠性，讀者在使用前請進一步核實，并對任何自主決定的行為負責。本網站對有關資料所引致的錯誤、不確或遺漏，概不負任何法律責任。任何單位或個人認為本網站中的網頁或鏈接內容可能涉嫌侵犯其知識產權或存在不實內容時，應及時向本網站提出書面權利通知或不實情況說明，并提供身份證明、權屬證明及詳細侵權或不實情況證明。本網站在收到上述法律文件后，將會依法盡快聯(lián)系相關文章源頭核實，溝通刪除相關內容或斷開相關鏈接。