Redazione RHC:15 Outubro 2025 21:53
Uma sofisticada campanha de ataque apelidada de “Operação Zero Disk” foi detectado recentemente, onde os agentes de ameaças estão explorando ativamente uma vulnerabilidade crítica no Protocolo de gerenciamento de rede simples (SNMP) da Cisco para instalar Rootkits Linux em dispositivos de rede vulneráveis.
A partir de outubro de 2025, a campanha impactou redes corporativas, destacando riscos persistentes na infraestrutura legada. A principal vulnerabilidade, detalhada no comunicado de segurança da Cisco, decorre de um estouro de buffer na estrutura de autenticação SNMP no software Cisco IOS XE.
Trend Micro observou uma operação explorando CVE-2025-20352qual permite a execução remota de código (RCE) e concede acesso não autorizado persistente, Segmentação principal switches Cisco mais antigos que não possuem proteções modernas.
A investigação revelou que os invasores ligaram esse fenômeno a um vulnerabilidade Telnet modificada derivada de CVE-2017-3881 , que foi reaproveitado para operações de leitura/gravação de memória em vez de RCE real.
Atacantes enviar pacotes SNMP Get-Request forjados para estourar o buffer, Permitindo execução de código arbitrário em arquiteturas de switch de 32 bits e 64 bits.
Uma vez explorado , o malware implanta um rootkit que define uma senha universal contendo o termo “disco”, uma referência sutil a ” Cisco “, concedendo aos invasores amplo acesso por meio de métodos de autenticação, como AAA e logins locais. Esse mecanismo de senha se conecta ao IOSd espaço de armazenamento, fornecendo persistência sem arquivo que desaparece na reinicialização, complicando a detecção.
Para destinos de 32 bits, como o série Cisco 3750G legada, os comprometimentos mostraram pacotes SNMP fragmentados que transportam comandos, como “$(ps -a”, limitados por restrições de byte por pacote. Em plataformas de 64 bits, incluindo o Cisco 9400 e 9300 série, exploits exigem privilégios elevados para ativar shells de convidados , permitindo que controladores baseados em UDP executem operações avançadas de pós-exploração.
Os alvos da campanha sistemas baseados em Linux desatualizados que não possuem ferramentas de detecção e resposta de endpoint (EDR), usando IPs e endereços de e-mail falsificados para garantir o anonimato.
Embora a ASLR (randomização do layout do espaço de endereço) em modelos mais recentes impeça algumas tentativas, o ataque ainda pode ser bem-sucedido, conforme observado na telemetria da Trend Micro. A Cisco auxiliou na análise forense, confirmando o impacto nos dispositivos 3750G, que foram eliminados junto com as linhas 9400 e 9300 ativas.
A Trend Micro recomenda implementar Cloud One Network Security para aplicação de patches virtuais prevenção de intrusão, juntamente com Regras do Deep Discovery Inspector, como 5497 para tráfego do controlador UDP. Aplicando imediatamente o CVE-2025-20352 patch também é recomendado.
Esse movimento destaca os perigos de equipamentos de rede desatualizados, levando as empresas a Priorize as atualizações em meio a crescentes ameaças patrocinadas pelo Estado e crimes cibernéticos.
Redação
A equipe editorial da Red Hot Cyber é composta por um grupo de indivíduos e fontes anônimas que colaboram ativamente para fornecer informações e notícias antecipadas sobre segurança cibernética e computação em geral.