
另一個CVE-2024-20359漏洞同樣位於ASA與FTD軟體中,存在於允許預先載入VPN用戶端與外掛程式的老舊功能中,取得授權的本地端駭客將得以最高權限執行任意程式,但駭客需要取得管理員等級的權限才能利用此一漏洞。
UAT4356利用上述兩個漏洞於受害系統上部署了兩個後門程式Line Dancer與Line Runner,其中,Line Dancer是一個進駐於記憶體中的Shellcode解釋器,可讓駭客上傳並執行任意的Shellcode;Line Runner則是一個持久性的後門,允許駭客上傳及執行任意的Lua腳本程式,在系統重新啟動及升級後仍會存在。
在部署Line Dancer與Line Runner之後,UAT4356即可於受害系統中展開各種惡意行動,包括變更配置,執行偵察,捕獲或汲取網路流量,以及潛在的橫向移動。
加拿大網路安全中心則說,今年初該組織便與澳洲及英國的網路安全中心合作,追蹤及評估鎖定全球政府及重大國家級基礎設施網路所使用之VPN服務的惡意行動,並發現思科的ASA裝置、ASA55xx系列,以及ASA 9.12/ASA 9.14軟體已遭駭客危害,駭客藉由WebVPN會話成功地建立了未經授權的存取,通常與Clientless SSLVPN服務有關。
在駭客成功進駐受害網路後,將能製造裝置配置檔案的文字版,以透過網路請求來汲取,也能控制裝置日誌服務的啟用與停用來混淆其它的命令,還能修改身分驗證、授權及用量計算(Authentication, Authorization and Accounting,AAA)配置,以便取得於受害環境中的存取能力。
思科已修補了上述兩個安全漏洞,指出修補程式雖然能抑制Line Runner的活動,但Line Runner依然存在於受害系統上,同時思科也提醒,除了該公司的裝置外,駭客亦對微軟與其它供應商的裝置感興趣,亦可能針對它們發動攻擊,建議用戶妥善修補裝置,登入至安全位置,以及採用強大的多因素身分驗證機制。
不管是思科或加拿大網路安全中心都因UAT4356(Storm-1849)的複雜手法認定它屬於由國家支撐的駭客組織,惟目前無法確認其來源,根據微軟對駭客組織的名稱定義,Storm屬於仍在發展尚無法歸類的類別。