Cisco ASA: Χάκερ εκμεταλλεύονται ευπάθειες σε 25,000 IPs

Μια άνευ προηγουμένου αύξηση στη δραστηριότητα κακόβουλης σάρωσης που στοχεύει τις συσκευές Cisco ASA (Adaptive Security Appliances) σημειώθηκε στα τέλη Αυγούστου 2025, με πάνω από 25,000 μοναδικές διευθύνσεις IP να συμμετέχουν σε συντονισμένες προσπάθειες αναγνώρισης.

Δείτε επίσης: Cisco Nexus 3000 και 9000 Series: Ευπάθεια επιτρέπει επιθέσεις DoS

Η GreyNoise, μια εταιρεία πληροφοριών απειλών, παρατήρησε δύο διακριτά κύματα σάρωσης που αντιπροσωπεύουν μια δραματική κλιμάκωση από τη συνήθη βασική δραστηριότητα λιγότερων από 500 IPs την ημέρα. Η αιχμή της 22ας Αυγούστου περιλάμβανε περίπου 25,000 μοναδικές διευθύνσεις, ακολουθούμενη από μια μικρότερη αλλά σχετική καμπάνια λίγες μέρες αργότερα.

Η ανάλυση αποκαλύπτει ότι το κύμα της 26ης Αυγούστου καθοδηγήθηκε κυρίως από ένα μοναδικό σύμπλεγμα botnet συγκεντρωμένο στη Βραζιλία. Από τις περίπου 17,000 ενεργές IPs εκείνη την ημέρα, περισσότερες από 14,000, που αντιπροσωπεύουν πάνω από το 80%, συνδέθηκαν με αυτήν την συντονισμένη καμπάνια botnet.

Οι επιτιθέμενοι χρησιμοποίησαν κοινές υπογραφές πελατών και πλαστογραφημένους χρήστες-πράκτορες τύπου Chrome, υποδεικνύοντας την ανάπτυξη κοινών εργαλείων σάρωσης σε όλη την υποδομή.

“Η υπογραφή πελάτη εμφανίστηκε μαζί με μια σειρά από στενά συνδεδεμένες υπογραφές TCP, υποδηλώνοντας ότι όλοι οι κόμβοι μοιράζονται μια κοινή στοίβα και εργαλεία,” σημείωσαν οι ερευνητές, επιβεβαιώνοντας τη συντονισμένη φύση της καμπάνιας.

Κατά τη διάρκεια των τελευταίων 90 ημερών, η δραστηριότητα σάρωσης έχει δείξει διακριτά γεωγραφικά πρότυπα. Η Βραζιλία κυριαρχεί στις χώρες προέλευσης με 64%, ακολουθούμενη από την Αργεντινή και τις Ηνωμένες Πολιτείες με 8% η κάθε μία. Ωστόσο, η στόχευση επικεντρώνεται έντονα στην υποδομή των ΗΠΑ, με το 97% των επιθέσεων να στοχεύουν αμερικανικά δίκτυα, ενώ το Ηνωμένο Βασίλειο και η Γερμανία αντιπροσωπεύουν το 5% και 3% αντίστοιχα, παρατήρησε η GreyNoise.

Δείτε ακόμα: Cisco: Οι ευπάθειες ISE RCE αξιοποιούνται σε επιθέσεις

Και οι δύο αιχμές σάρωσης στόχευσαν συγκεκριμένα το μονοπάτι σύνδεσης ιστού ASA /+CSCOE+/logon.html, έναν κοινό δείκτη αναγνώρισης που χρησιμοποιείται για την αναγνώριση εκτεθειμένων συσκευών. Υποσύνολα των ίδιων διευθύνσεων IP επίσης εξέτασαν τις Cisco Telnet/SSH και τις προσωπικότητες λογισμικού ASA, υποδεικνύοντας μια σκόπιμη καμπάνια εστιασμένη στη Cisco αντί για ευκαιριακή σάρωση.

Ο χρόνος και η κλίμακα αυτών των καμπανιών σάρωσης μπορεί να σηματοδοτούν μια επικείμενη αποκάλυψη ευπάθειας. Η έρευνα των Early Warning Signals της GreyNoise έχει δείξει ότι οι αιχμές σάρωσης συχνά προηγούνται της ανακοίνωσης νέων Κοινών Ευπαθειών και Εκθέσεων (CVEs). Ιστορικά δεδομένα δείχνουν παρόμοιες αυξήσεις δραστηριότητας που συνέβησαν λίγο πριν από προηγούμενες αποκαλύψεις ευπαθειών της Cisco ASA.

Οι συσκευές Cisco ASA έχουν αποτελέσει κύριους στόχους για εξελιγμένους κακόβουλους παράγοντες. Η κατασκοπευτική καμπάνια ArcaneDoor εκμεταλλεύτηκε προηγουμένως δύο ευπάθειες zero-day στα συστήματα Cisco ASA για να διεισδύσει σε κυβερνητικά δίκτυα. Ομάδες ransomware, συμπεριλαμβανομένων των Akira και LockBit, έχουν επίσης ιστορικά στοχεύσει αυτές τις συσκευές, ενώ το CVE-2020-3452 χρησιμοποιήθηκε παγκοσμίως μέσα σε λίγες μέρες από την αποκάλυψή του.

Οι οργανισμοί που λειτουργούν υποδομή Cisco ASA θα πρέπει άμεσα να αναθεωρήσουν την έκθεσή τους, να διασφαλίσουν ότι τα συστήματα είναι πλήρως ενημερωμένα και να παρακολουθούν για ασυνήθιστες προσπάθειες αυθεντικοποίησης. Δεδομένης της κλίμακας και του συντονισμού αυτής της δραστηριότητας σάρωσης, οι ομάδες ασφαλείας θα πρέπει να προετοιμαστούν για πιθανές προσπάθειες εκμετάλλευσης zero-day και να εξετάσουν την εφαρμογή επιπλέον παρακολούθησης γύρω από τις συσκευές ASA.

Δείτε επίσης: Η Cisco επιδιορθώνει ένα ακόμη κρίσιμο θέμα ευπάθειας ISE

Η άνευ προηγουμένου κλίμακα αυτής της καμπάνιας αναγνώρισης υποδηλώνει ότι οι κακόβουλοι παράγοντες μπορεί να προετοιμάζονται για ένα σημαντικό κύμα εκμετάλλευσης ευπαθειών, καθιστώντας τις άμεσες αμυντικές προετοιμασίες κρίσιμες για τους οργανισμούς που βασίζονται στις συσκευές ασφαλείας Cisco ASA.