Китайские киберпреступники из группировки Volt Typhoon внедрили вредоносный код в сотни устаревших SOHO-маршрутизаторов Cisco и Netgear. В ФБР заявляют, что целью хакеров является критическая информационная инфраструктура США. Злоумышленники загрузили VPN-модуль на уязвимые устройства и сформировали зашифрованный канал связи c ботнетом KV Botnet. При этом, как утверждается, группировка планировала атаки на водоочистные сооружения, электросети, нефте- и газопроводы, а также транспортные системы.

Специалистам ФБР удалось нейтрализовать ботнет. Для выявления заражённых устройств отсылались специфичные для ботнета команды: на них реагировали только заражённые маршрутизаторы. Затем были получены разрешения на массовый удалённый доступ к инфицированному оборудованию. Сотрудники правоохранительных органов собрали сведения о деятельности зловреда, после чего удалили вирус из памяти роутеров, не затронув иные данные. Таким образом, ФБР фактически получило контроль над не принадлежащим ведомству сетевым оборудованием для нейтрализации угрозы, что само по себе является прецедентом.

Источник изображения: pixabay.com

Агентство по кибербезопасности и защите инфраструктуры США заявляет, что кибервторжения со стороны Китая становятся всё более изощрёнными. Для защиты маршрутизаторов рекомендуется использовать функцию автоматического обновления прошивки и ограничить доступ к интерфейсу управления только с устройств, подключенных к локальной сети.

Директор ФБР Кристофер Рэй (Christopher Wray) сообщил Конгрессу США, что специалистам удалось сорвать диверсию хакерской группировки. Внедрённое в маршрутизаторы вредоносное ПО злоумышленники намеревались задействовать в случае усиления конфликта с США. Китайские власти отрицают причастность к Volt Typhoon. «Китайские хакеры нацелены на критически важные элементы американской гражданской инфраструктуры, готовясь нанести реальный вред в случае конфликта», — заявил Рэй.

CDW, крупнейший в мире реселлер, как сообщает The Register, заключил мировое соглашение с компанией Dexon Computer по антимонопольному делу с участием Cisco. Судья Восточного округа Техаса выпустил постановление о приостановлении процесса в части, касающейся CDW, до завершения урегулирования, в то время как иски Dexon против Cisco будут рассмотрены позднее. Иск Dexon к CDW, по которому достигнуто соглашение, был встречным со стороны Dexon после того, как Cisco подала на неё в суд, обвинив реселлера в продаже контрафактной продукции.

В первоначальном иске, поданном Dexon в апреле 2022 года, Cisco обвиняется в злоупотреблении своим положением на рынке в качестве одного из ведущих поставщиков сетевого оборудования. Dexon утверждала, что Cisco вынуждала клиентов, особенно из сферы малого и среднего бизнеса, покупать новое оборудование, когда приходит время обновлять пакеты обслуживания и услуг. По словам Dexon, по крайней мере в одном случае клиент был вынужден купить коммутаторы и маршрутизаторы Ethernet вместе с пакетом услуг в рамках программы Smart Net, чтобы иметь право на продление обслуживания.

Источник изображения: Cisco

Также Dexon утверждает, что Cisco принуждала клиентов доплачивать за уже приобретённое сетевое оборудование посредством «платы за повторную сертификацию», угрожая прекратить обслуживание оборудования, пока не будет выполнен дополнительный платёж. В иске также сообщалось о том, что Cisco пыталась отговорить клиентов от покупок у посредников, не входящих в список её партнёров, включающий CDW, предположительно потому, что последние устанавливают более высокие цены и более выгодны ей.

«Cisco успешно применила стратегию “страха, неуверенности и сомнений” (fear, uncertainty and doubt), или «FUD», несправедливо заявляя клиентам, что нежелательные реселлеры продают “контрафактные”, “несанкционированные” товары или товары с “вредоносным” или “шпионским ПО”, чтобы отговорить их от покупок у этих реселлеров оборудования других производителей, включая конкурентов Cisco», — заявила Dexon. В урегулированном иске, поданном против CDW, компания обвинялась в сговоре с Cisco с целью лишить Dexon возможности осуществлять некоторые продажи, при этом CDW представлялась клиентам как предпочтительный канал для покупок.

Источник изображения: Cisco

Что касается иска Cisco к Dexon, поданного в 2020 году, то в нём поставщик сетевого оборудования утверждал, что Dexon «неоднократно и систематически участвовала в схемах по распространению контрафактной продукции Cisco» по крайней мере с июля 2006 года и до сегодняшнего дня. В октябре прошлого года Cisco добилась предварительного запрета суда на продажу Dexon продукции Cisco. Cisco считает Dexon неавторизованным торговым посредником, поэтому ей запрещено продавать пакеты обслуживания Smart Net.

Cisco заявила, что пакет Smart Net можно приобрести вместе с продуктом Cisco, полученным из неавторизованного источника, если он был проверен Cisco на подлинность. По словам Cisco, Dexon торговала её продуктами без надлежащей проверки на отсутствие подделки. В постановлении о вынесении предварительного судебного запрета окружной судья Сан-Франциско заявил, что доказательств продаж контрафактной продукции, предоставленных Cisco, «достаточно, чтобы добиться успеха по её иска в соответствии с Законом Лэнхема (Закон о товарных знаках США)».

Вместе с тем Dexon не будет считаться нарушившей запрет, если продаваемый ею продукт Cisco окажется контрафактным, но она использовала предоставленные самой Cisco инструменты для проверки подлинности продукта. Запрет будет применяться только к тем продуктам Cisco, которые описываются Dexon как новые. Сама Cisco в ближайшее время введёт новую модель лицензирования для ряда продуктов.

Корпорация Cisco объявила о заключении соглашения по покупке стартапа Isovalent, специализирующегося на разработке сетевых решений open source для обеспечения безопасности, в том числе в облачных средах. Финансовые условия сделки не раскрываются. Isovalent является участником проекта eBPF (extended Berkeley Packet Filter), нацеленного на использование возможностей ядра Linux для мониторинга активности, обнаружения проблем с производительностью и выявления рисков безопасности различных рабочих нагрузок.

Кроме того, Isovalent принимает участие в двух других проектах open source: Cilium и Tetragon. Первый помогает управлять потоками сетевого трафика между контейнерами, а второй дополняет Cilium, предоставляя дополнительные возможности кибербезопасности. Стартап недавно представил решение Cilium Mesh, которое позволяет подключать кластеры Kubernetes к существующей инфраструктуре в гибридных облаках.

Источник изображения: Cisco

Cisco намерена использовать технологии Isovalent для расширения своего набора сервисов в области кибербезопасности. Речь идёт о развитии концепции Cisco Security Cloud — интегрированной облачной платформы безопасности на базе ИИ для организаций любого размера. Данная система позволяет клиентам отделить средства управления безопасностью от мультиоблачной инфраструктуры, обеспечив защиту от возникающих угроз в любом облаке, приложении или рабочей нагрузке. Cisco планирует объединить Cilium Mesh со своими программно-определяемыми сетевыми продуктами.

Корпорация Cisco намерена завершить сделку по поглощению Isovalent в III четверти 2024 финансового года, который закончится 27 июля. После этого сотрудники стартапа присоединятся к подразделению Cisco Security Business Group.

Cisco без особого шума внесла изменения в модель лицензирования для линейки коммутаторов Cisco Catalyst, планируя со временем распространить её на большее количество продуктов, пишет The Register.

Новая схема включают в себя оплату оборудования, ПО и поддержки. То есть о каких-то кардинальных изменениях речи нет — просто заказчики Cisco, по словам компании, попросили её упростить рутинные операции. Лицензии также позволят развёртывать решения Cisco локально или в облаке. И этот порядок в дальнейшем будет единым для всего портфолио Cisco.

Новая модель лицензирования будет вводиться постепенно, по мере смены поколений основных продуктовых линеек. «Крупные изменения лицензий вызывают недовольство у клиентов, если это делать в течение жизненного цикла продукта», — объяснил вице-президент Cisco.

Источник изображения: Cisco

Изменение лицензирования вместе с выходом новых продуктов является частью программы Cisco по созданию «Сетевого облака», которая касается не только продуктов или технологий, но и взаимодействия Cisco со своими клиентами, которое компания стремится укрепить.

В июле 2022 года компания ввела новый подход к дизайну интерфейса линейки Cisco Meraki под названием Magnetic, призванного упростить управление устройствами с целью уменьшения количества ошибок. Компания тогда тоже заявила, что этот подход будет распространён на всё её портфолио.

Ещё одним приоритетом для Cisco является интеграция выпускаемой продукции с инструментами безопасности, наблюдения и взаимодействия с пользователями, поскольку она стремится обеспечить не только надёжность сетей, но и возможность управления ими в соответствии с потребностями бизнеса.

Компания Cisco анонсировала коммутаторы серий Catalyst 1200 и Catalyst 1300: в семейства вошло большое количество моделей с разным набором портов 1GbE и 10GbE. Новинки предназначены для использования в сфере малого и среднего бизнеса.

Все устройства укомплектованы двухъядерным процессором Arm с тактовой частотой до 1,4 ГГц, который функционирует в тандеме с 1 Гбайт оперативной памяти DDR4. Предусмотрено 512 Мбайт флеш-памяти. В зависимости от модификации применяется пассивное или активное (с одним вентилятором) охлаждение.

В оснащение входят от 8 до 52 сетевых портов (с разъёмами RJ-45 и коннекторами SFP/SFP+). Поддерживается технология PoE: в случае Catalyst 1200 суммарный бюджет мощности таких портов достигает 375 Вт, в случае Catalyst 1300 — 740 Вт.

Источник изображения: Cisco

Управляемые L3-коммутаторы Catalyst 1300 допускают объединение в стек до восьми устройств, что позволяет довести количество портов до 200. При этом полученная группа идентифицируется остальными сетевыми устройствами как один логический коммутатор (с одним IP-адресом). Решения Catalyst 1200, в свою очередь, поддерживают только статическую L3-маршрутизацию.

Взаимодействовать с коммутаторами можно через мобильное приложение на смартфоне. Допускается также подключение внешнего Bluetooth-адаптера через порт USB для последующей работы посредством ноутбука или планшета.

Заодно Cisco выпустила Meraki MX — устройство обеспечения безопасности с облачным управлением и SD-WAN. Решение предоставляет такие возможности, как брандмауэр, фильтрация контента, защита от угроз, VPN, управление работоспособностью VoIP и пр.

Компании Cisco и Bang & Olufsen анонсировали полностью беспроводные наушники погружного типа (TWS) с набором функций корпоративного класса. Модель под названием Bang & Olufsen Cisco 950 предназначена для организации безопасной гибридной работы, когда сотрудники могут находиться в офисе, дома или в пути. Наушники, как утверждается, обеспечивают звук премиального качества. Реализованы средства активного шумоподавления.

В основу новинки положена модель Beoplay EX, дебютировавшая в 2022 году. Каждый вкладыш оснащён тремя микрофонами, которые позволяют уверенно принимать и совершать звонки и участвовать в сеансах конференц-связи. Применены 9,2-мм излучатели с неодимовыми магнитами. Заявленный диапазон воспроизводимых частот простирается от 20 Гц до 20 кГц. Время автономной работы на одном заряде аккумулятора достигает 6 часов с активным шумоподавлением, 8 часов без шумоподавления и суммарно 20 часов с зарядным футляром при средней громкости. Поддерживается Bluetooth 5.2.

Источник изображения: Cisco

Модификация Bang & Olufsen Cisco 950 специально оптимизирована для использования с платформой Webex, предназначенной для совместной работы и проведения онлайн-встреч. IT-администраторы могут централизованно управлять наушниками и обновлять их посредством Webex Control Hub. Говорится о совместимости со смартфонами и планшетами на базе Android и iOS. В комплект поставки помимо зарядного футляра входят четыре набора силиконовых накладок и одна пара накладок из пеноматериала для обеспечения максимально комфортной посадки. В продажу наушники поступят в ноябре нынешнего года.

На прошлой неделе Cisco Systems столкнулась с необходимостью усиления защищённости своих маршрутизаторов и коммутаторов под управлением IOS XE, поскольку обнаруженная уязвимость CVE-2023-20198 позволяла злоумышленникам удалённо получить фактически полный контроль над устройствами, которых, как теперь считается, в Сети около 40 000 единиц. Тем временем злоумышленники пытаются скрыть наличие имплантата в уже заражённых устройствах.

Уязвимый HTTP(S)-интерфейс используется для подготовки и настройки устройства, а также для устранения неполадок и дополняет интерфейс командной строки. Хотя первая атака произошла в середине сентября, исследователи Cisco Talos до конца месяца о ней не подозревали. После того как была обнаружена первая уязвимость, исследователи решили, что она использовалась в сочетании со старой уязвимостью удалённого выполнения кода (RCE) от 2021 года (CVE-2021-1435), но затем стало ясно, что они имеют дело с ещё одной новой уязвимостью нулевого дня CVE-2023-20273.

Источник изображения: Pixabay

В совокупности эти два ошибки могут обеспечить злоумышленнику root-доступ, позволяющий развёртывать вредоносное ПО или выполнять любые команды на этих устройствах, независимо от прав доступа других пользователей, что потенциально могло парализовать многие сетевые операции. В связи с этим Cisco начала выпуск исправлений для различных версий IOS XE, начиная с самой последней версии 17.9. Компания также предложила отключить HTTPS(S)-доступ или временно заблокировать сетевой трафик к веб-интерфейсу. Сетевым администраторам рекомендуется проверить журналы доступа на предмет любой вызывающей подозрения или вредоносной активности.

Cisco сообщила о выявлении ранее неизвестной уязвимости нулевого дня CVE-2023-20198 в HTTP(S)-сервере Cisco IOS XE. Уязвимость касается как физических, так и виртуальных устройств под управлением Cisco IOS XE, у которых также включена функция HTTP(S)-сервера. Уязвимость получила максимальный рейтинг опасности — 10 из 10 возможных баллов по шкале CVSS. Патч, закрывающий уязвисмость, пока не готов.

Уязвимость позволяет хакеру без прохождения аутентификации создать на подключённом к интернету устройстве учётную запись с максимальным уровнем привилегий (15), что обеспечивает ему полный контроль над скомпрометированной системой. Компания заявила, что отследила, как злоумышленник использовал уязвимость для получения привилегий уровня администратора на устройствах под управлением IOS XE, а затем, в обход патчей, используя старую уязвимость удалённого выполнения кода (RCE) от 2021 года (CVE-2021-1435) установил Lua-имплантат на затронутые системы.

Изображение: Cisco

Признаки активности злоумышленников с использованием уязвимости CVE-2023-20198 были зафиксированы ещё в сентябре. Джейкоб Бэйнс (Jacob Baines), технический директор VulnCheck, сообщил, что его компания обнаружила порядка 10 тыс. систем на базе Cisco IOS XE с установленным имплантатом — и это в результате сканирования только половины затронутых устройств с помощью поисковых систем Shodan и Censys. Тот факт, что во всех скомпрометированных системах на Cisco IOS XE установлен один и тот же вредоносный код, позволяет предположить, что за атаками стоит один злоумышленник, который пытается установить зловред во все попадающиеся на его пути уязвимые устройства.

Этого мнения придерживаются и исследователи из Detectify. Они считают, что стоящий за этим злоумышленник произвольно атакует каждую затронутую систему, которую может найти: «Похоже, что злоумышленники забрасывают широкую сеть, пытаясь использовать системы без какой-либо конкретной цели». В компании полагают, что преступник планирует в дальнейшем найти то, что может сулить выгоду. Исследователи Detectify также согласились с мнением Бейнса о том, что взломанные устройства можно легко найти с помощью поисковых систем вроде Shodan.

Cisco пока не выпустила патч для устранения бреши нулевого дня. Компания рекомендует организациям немедленно отключить функцию веб-сервера на устройствах на базе IOS XE с доступом в интернет. 17 октября Cisco обновила свои рекомендации, отметив, что также поможет контроль доступа к серверу с помощью списков доступа: «Мы с высокой степенью уверенности оцениваем, основываясь на более глубоком понимании эксплойта, что списки доступа, применяемые к функции HTTP-сервера для ограничения доступа со стороны ненадёжных хостов и сетей, являются эффективным средством защиты».

UPD 20.10.2023: Cisco выяснила, что в атаке также была использована не ранее закрытая уязвимость от 2021 года, а совершенно новая уязвимость нулевого дня, которая получила обозначение CVE-2023-20273 и рейтинг CVSS 7.2. Патчей против неё и CVE-2023-20198 всё ещё нет.

UPD 23.10.2023: Cisco начала выпуск обновлений, закрывающих уязвимости.

Cisco Systems объявила о покупке специализирующейся на вопросах кибербезопасности компании Splunk за $28 млрд, «чтобы помочь сделать организации более безопасными и устойчивыми в мире, основанном на искусственном интеллекте». Сделка представляет собой крупнейшее приобретение в истории Cisco, которое позволит её сделать мощный рывок в области программного обеспечения и анализа данных на основе искусственного интеллекта, отметил Bloomberg.

«Вместе Cisco и Splunk станут одной из крупнейших в мире компаний-разработчиков программного обеспечения и ускорят трансформацию бизнеса Cisco для обеспечения более стабильного дохода», — указано в пресс-релизе. Cisco предлагала Splunk в 2022 году сделку по слиянию на сумму более $20 млрд, но она не сложилась, сообщила газета The Wall Street Journal.

Источник изображения: Cisco

Cisco оплатит приобретение из расчёта $157 за акцию, что на 31 % выше цены акций Splunk на момент закрытия биржи в среду. Стоимость сделки составляет примерно 10 % рыночной капитализации Cisco. Cisco расширяет свой бизнес в области программного обеспечения и услуг, стремясь снизить зависимость от бизнеса по производству сетевого оборудования, традиционно приносившего ей большую часть доходов.

Как указано в посвящённом поглощению пресс-релизе, возможности по обеспечению безопасности Splunk дополняют существующий портфель Cisco и они совместно обеспечат ведущую аналитику безопасности и охват всех устройств, приложений и облаков. Вместе Cisco и Splunk помогут организациям перейти от обнаружения угроз и реагирования на них к прогнозированию и предотвращению угроз.

Также вполне возможно, что, заключая сделку, Cisco делает ставку на искусственный интеллект в такой же степени, как и на бизнес в области программного обеспечения и безопасности данных. Ранее в этом году Splunk анонсировала новую линейку продуктов в сфере ИИ, которая, по её словам, позволит компаниям быстрее обнаруживать аномалии в своих данных и реагировать на них. Слияние обеспечивает ИИ-продуктам компаний «значительный масштаб» и большую наглядность данных, указано в заявлении компании.

Сделка была единогласно одобрена советами директоров Cisco и Splunk. Ожидается, что её закроют к концу III квартала 2024 календарного года при условии одобрения регулирующими органами и выполнения других условий, включая получение одобрение акционеров Splunk. После завершения сделки президент и гендиректор Splunk Гэри Стил (Gary Steele) войдёт в состав руководства Cisco и будет подчиняться непосредственно гендиректору Чаку Роббинсу (Chuck Robbins).

В случае срыва сделки, Cisco придётся выплатить неустойку в размере $1,48 млрд.

Компания Cisco, по сообщению ресурса The Register, приняла решение отказаться от дальнейшего развития семейства гиперконвергентных решений Hyperflex. Объясняется это «растущими потребностями клиентов и изменившейся рыночной динамикой».

Cisco называет Hyperflex «дата-центром в коробке». Эти продукты объединяют серверы, СХД, необходимую сетевую инфраструктуру и платформу виртуализации. Решения совместимы с Oracle Database, SAP HANA, Microsoft SQL Server, с виртуальными средами VMware, Citrix и Microsoft.

Источник изображения: Cisco

В Cisco не стали вдаваться в подробности относительно сворачивания проекта Hyperflex, отметив лишь, что компания действует в интересах клиентов, партнёров и сотрудников. При этом в Cisco подчёркивают, что корпорация «по-прежнему привержена упрощению работы гибридного мультиоблака». Cisco пообещала пятилетнюю поддержку и обслуживание текущих заказчиков Hyperflex. Cisco продолжит принимать заказы на оборудование HyperFlex и сопутствующее ПО до 12 марта 2024 года, а отгрузки планируется завершить до 10 июня 2024-го.

Решение Cisco может создать сложности для клиентов, которые используют гипервизор VMware ESXi на базе HyperFlex. Дело в том, что Cisco не будет сертифицировать будущие версии ESXi для работы на своем оборудовании. Поэтому заказчикам придётся либо запускать неподдерживаемый код, либо использовать аппаратное обеспечение HyperFlex в качестве обычных серверов Cisco UCS (Unified Computing System).

Между тем недавно Cisco сообщила о заключении партнёрского соглашения с Nutanix для ускорения развертывания гибридных мультиоблачных сред. Речь идёт о создании наиболее полного в отрасли гиперконвергентного решения для IT-модернизации и трансформации бизнеса.