Foi observada uma campanha que explorou uma vulnerabilidade do Cisco Simple Network Management Protocol para instalar rootkits do Linux em dispositivos de rede expostos.
A exploração, rastreada como CVE-2025-20352 e detalhada em uma nova análise da Trend Micro, permitiu a execução remota de código e acesso persistente e não autorizado, incorporando ganchos na memória IOSd e criando uma senha universal baseada na palavra “disco”.
Explore a mecânica e o controle
Os invasores combinaram a exploração SNMP com uma falha Telnet modificada baseada no CVE-2017-3881 para ler e gravar memória e, em seguida, usaram um controlador UDP em switches infectados para alternar logs, ignorar a autenticação e ocultar alterações de configuração.
A Trend Micro disse que a operação visava hosts Linux mais antigos sem resposta de detecção de endpoint, onde componentes sem arquivo poderiam desaparecer após a reinicialização, mas ainda permitir o movimento lateral.
A Trend Research recuperou várias variantes de exploração para plataformas de 32 bits e 64 bits e descobriu que a operação afetou os dispositivos Cisco 9400 Series, 9300 Series e 3750G legados. A Cisco forneceu suporte forense que ajudou a confirmar os modelos afetados e auxiliou na investigação.
Os ataques contra compilações de 32 bits incluíram um exploit SNMP que dividia cargas úteis de comando entre pacotes e uma variante Telnet usada para permitir acesso arbitrário à memória.
Para alvos de 64 bits, os invasores precisavam de acesso ao shell convidado no nível 15 para instalar um backdoor sem arquivo e usar um controlador UDP para executar funções de gerenciamento remotamente.
Recursos e detecção de rootkit
O rootkit concedeu vários recursos secretos, incluindo:
-
Atuando como um ouvinte UDP em qualquer porta para comandos remotos
-
Criando uma senha universal modificando a memória IOSd
-
Ocultando itens de configuração em execução, como nomes de contas, scripts EEM e ACLs
-
Ignorando ACLs VTY e redefinindo o último carimbo de data/hora de gravação de configuração em execução
-
Alternando ou excluindo logs de dispositivo
Atualmente, não existe um teste automatizado universal para confirmar o comprometimento por esta operação. Se houver suspeita de comprometimento, os proprietários do dispositivo são aconselhados a entrar em contato com o Cisco TAC para uma investigação de firmware e ROM de baixo nível e aplicar a orientação do fornecedor e as regras de detecção fornecidas por Trend Micro.
Para evitar o comprometimento, os proprietários de dispositivos devem instalar imediatamente patches e atualizações de firmware da Cisco, remover ou proteger strings de comunidade SNMP padrão ou desabilitar o SNMP quando não for necessário e restringir o acesso de gerenciamento a hosts bastion e redes de administração dedicadas.
Eles também devem desabilitar o Telnet e o shell de convidado ou controlar rigidamente o acesso de nível 15, implantar a detecção de endpoint em hosts Linux, implementar ACLs fortes e segmentação de rede, habilitar hardware compatível com ASLR quando disponível e adotar as regras de detecção e consultas de busca fornecidas pela Trend Micro.