Net iets minder dan 800 Cisco systemen in Nederland zijn door aanvallers nu voorzien van een implant, waarmee ze de macht over die netwerkapparaten overnemen. Dit is gebeurd via een kritieke kwetsbaarheid waar het NCSC en Cisco eerder deze week voor waarschuwden. Het Nederlandse aantal plus veel hogere wereldwijde cijfers komen van het Dutch Institute for Vulnerability Disclosure, DIVD, in antwoord op vragen van AG Connect.

De aanvallers komen binnen via de nieuw gevonden kwetsbaarheid CVE-2023-20198 in Cisco s netwerkbesturingssysteem IOS XE. Via dat gat kunnen aanvallers zelf een account aanmaken op het systeem. Dat account geeft hen het hoogste toegangsniveau, level 15, en bezorgt dan volledige controle geeft over een getroffen systeem. Deze kwetsbaarheid heeft dan ook de hoogste score wat betreft de ernst van de zaak gekregen, namelijk 10 op een schaal van 10.

Tweetrapshack

Maar de hackaanval die in volle gang is, stopt daar niet, ontdekten beveiligingsonderzoekers van Cisco s eigen securitytak Talos. Eenmaal binnen misbruiken kwaadwillenden ook een oudere fout – CVE-2021-1435 – om een zogeheten implant te installeren. Daarmee kan de aanvaller waarschijnlijk internetverkeer monitoren, beschermde netwerken binnenkomen en allerlei man-in-the-middle-aanvallen uitvoeren.

Opvallend hierbij is dat deze tweede, oudere fout al in 2021 van een patch voorzien is. Maar zelfs gepatchte systemen kunnen van een implant voorzien worden, aldus de onderzoekers. Hoe de aanvallers dit voor elkaar krijgen, is nu nog onduidelijk.

Deze versturen we 3-4x per jaar.