Een groep aanvallers die op de Cisco-systemen van Amerikaanse telecomproviders wist in te breken maakte gebruik van gestolen inloggegevens, zo stelt Cisco. In een analyse laat het netwerkbedrijf weten dat sommige van de systemen meer dan drie jaar lang waren gecompromitteerd, zonder dat dit was opgemerkt. De groep wordt 'Salt Typhoon' genoemd en zou zich vooral met spionage bezighouden.

Vorige week meldde securitybedrijf Recorded Future op basis van eigen onderzoek dat de groep verschillende Cisco-kwetsbaarheden had gebruikt om systemen te compromitteren. Bij de systemen die Cisco onderzocht wisten de aanvallers via gestolen inloggegevens initiële toegang krijgen, aldus het netwerkbedrijf. Hoe de aanvallers deze inloggegevens konden bemachtigen is niet bekend.

Eén Cisco-systeem was via een oude kwetsbaarheid gecompromitteerd (CVE-2018-0171), maar deze activiteit kon Cisco naar eigen zeggen niet aan Salt Typhoon toeschrijven. In veel gevallen blijken de aanvallers de apparaatconfiguratie te stelen, die vaak gevoelige inloggegevens bevatten, zoals SNMP Read/Write (R/W) community strings en lokale accounts met 'weak password encryption types', zoals Cisco het noemt. Volgens het bedrijf is het vervolgens eenvoudig voor een aanvaller om het wachtwoord offline te ontsleutelen.

Daarnaast bevatten de gecompromitteerde systemen informatie over het netwerk, dat de aanvallers vervolgens gebruiken om andere machines in het netwerk aan te vallen. Zo gebruikte de groep het gecompromitteerde systeem bij één telecomprovider om daarvandaan een systeem van een andere provider aan te vallen. Verder passen de aanvallers allerlei tooling toe om logs aan te passen of logging te voorkomen.

In de analyse doet Cisco verschillende aanbevelingen, zoals het uitschakelen van de niet-versleutelde webserver op Cisco-systemen, guestshell access en telnet, het gebruik van 'type 8 passwords' voor lokale accounts, het gebruik van 'type 6 voor TACACS+ key configuration' en het uitschakelen van de Smart Install-feature. Als laatste wordt aangeraden om legacy apparaten met bekende kwetsbaarheden te patchen of te vervangen.