Сервис киберразведки GreyNoise зафиксировал две масштабные волны сканирования устройств Cisco Adaptive Security Appliance (ASA) в конце августа, что может указывать на подготовку к эксплуатации ещё не раскрытой уязвимости. Первый всплеск активности включал более 25 000 уникальных IP-адресов в едином импульсе, что значительно превышает фоновые показатели, обычно не превышающие 500 адресов в сутки. Вторая, менее масштабная, но связанная волна последовала несколькими днями позже.
Описание
Обе кампании были нацелены на путь веб-авторизации ASA (/+CSCOE+/logon.html), который является распространённым маркером разведки для выявления устройств. Часть тех же IP-адресов также зондировала Telnet/SSH и программные персонажи ASA в инфраструктуре GreyNoise, что сигнализирует о целенаправленной кампании против продуктов Cisco, а не о случайном сканировании. Аналитики отмечают общие черты: пересекающиеся клиентские сигнатуры и поддельные пользовательские агенты, имитирующие браузер Chrome, что указывает на использование общего инструментария в обоих инцидентах.
Географический контекст показывает доминирование Бразилии как источника активности. За последние 90 дней 64% трафика исходило из Бразилии, за которой следуют Аргентина и США с по 8%. При этом 97% целей находились в Соединённых Штатах, 5% - в Великобритании и 3% - в Германии.
Более глубокий анализ волны 26 августа выявил, что она была обусловлена преимущественно одним ботнет-кластером, сконцентрированным в Бразилии. Путём выделения специфического клиентского отпечатка и изучения активности за два месяца GreyNoise установила, что этот отпечаток использовался исключительно для сканирования устройств Cisco ASA. В тот день из 16 794 IP-адресов, наблюдавшихся в сканировании, 2 858 не соответствовали данной сигнатуре. Таким образом, примерно 14 000 из 17 000 активных адресов - более 80% - были связаны с этим ботнетом. Клиентская сигнатура наблюдалась вместе с набором тесно связанных TCP-сигнатур, что позволяет предположить, что все узлы используют общий стек и инструментарий. Это делает всплеск 26 августа результатом скоординированной кампании ботнета, доминируемую инфраструктурой из Бразилии.
Исторически всплески сканирования часто предшествуют раскрытию новых уязвимостей (CVE). В прошлом активность против тега Cisco ASA Scanner в GreyNoise резко возрастала перед объявлением новой уязвимости в ASA. Недавние всплески в конце августа могут представлять аналогичный сигнал раннего предупреждения.
Существуют реальные прецеденты серьёзных инцидентов, связанных с уязвимостями в Cisco ASA. Кампания ArcaneDoor использовала две уязвимости нулевого дня (Line Dancer и Line Runner) для проникновения в правительственные сети. Группы вымогателей Akira и LockBit также исторически нацеливалась на системы Cisco ASA. Глобальная эксплуатация уязвимости CVE-2020-3452 началась вскоре после её раскрытия, а попытки эксплуатации наблюдались в течение нескольких дней. Это подчёркивает критическую важность проактивных мер безопасности и мониторинга подобной активности сканирования.
Индикаторы компрометации
