Vermoedelijk zijn er nog wereldwijd tienduizenden Cisco IOS XE-systemen besmet met een backdoor waardoor de aanvallers toegang tot de apparaten hebben, zo stelt securitybedrijf Censys. Voor verschillende versies van IOS XE zijn nog altijd geen beveiligingsupdates beschikbaar om de kwetsbaarheden te verhelpen waardoor de backdoor wordt geïnstalleerd. Op dit moment is er alleen voor versie 17.9 van IOS XE een update verkrijgbaar. Wanneer de updates voor versies 17.6, 17.3 en 16.12 verschijnen is nog niet bekend.

Eerder deze maand werd bekend dat aanvallers twee zerodaylekken in IOS XE (CVE-2023-20273 en CVE-2023-20198) gebruiken om systemen op afstand volledig over te nemen. IOS XE draait op de switches en routers van Cisco. Vervolgens kan een aanvaller verdere aanvallen uitvoeren of verkeer onderscheppen. De aanvallers installeerden een backdoor om toegang tot de gecompromitteerde systemen te behouden.

Censys telde op het hoogtepunt 53.000 besmette IOS XE-systemen. Nadat erover de zerodaylekken werd bericht besloten de aanvallers hun backdoor te upgraden, zodat die alleen op de juiste http header reageert. Hierdoor konden onderzoekers niet meer zien hoeveel apparaten er nog besmet zijn. Er is echter een nieuwe manier gevonden waarmee kan worden gekeken of de backdoor nog actief is, hoewel deze methode niet heel precies is. Dan komt Censys bij een nieuwe telling uit op zo'n 29.000 systemen die sporen van de backdoor bevatten.

"Hoewel het op het eerste gezicht lijkt dat deze aanvallers hun zero-day hebben verbruikt, is het duidelijk dat dit een gecoördineerde, goed geplande en goed uitgevoerde aanval was. Niet alleen hebben ze de kwetsbaarheid in deze apparaten gevonden (als het lek niet was gekocht), maar gebruikten ze ook de onderliggende technologie die op deze apparaten draait om een backdoor te installeren. Dit houdt in dat er redelijk wat moeite is gedaan om de technologie te leren en systeemspecifieke backdoors te implementeren", aldus Censys.