中国关联APT组织“天鹅绒蚂蚁”利用Cisco零日漏洞（CVE-2024-20399）
内容提要
中国APT组织“天鹅绒蚂蚁”利用Cisco交换机的零日漏洞成功入侵网络设备。漏洞CVE-2024-20399允许攻击者以root身份执行任意命令。APT组织使用有效的管理员凭据逃离NX-OS命令行界面，并在底层Linux操作系统上执行任意命令。受影响的设备包括Cisco的多个系列交换机。Cisco建议客户监控管理员用户的凭据使用，并提供了软件检查工具来确定设备是否受漏洞影响。这次攻击显示了APT组织不断进化的策略和高水平的资源和专业知识。
延伸解读
漏洞利用的门槛与防御重点
CVE-2024-20399的CVSS评分为6.0，利用需要有效的管理员凭据。这意味着攻击者并非直接远程攻破设备，而是先获取了高权限账户。因此，防御此类攻击的关键在于严格管理管理员凭据，监控network-admin和vdc-admin等账户的异常使用，而非仅依赖漏洞修补。
VELVETSHELL恶意软件的隐蔽性
攻击者部署的VELVETSHELL恶意软件运行在底层Linux操作系统上，而非NX-OS层面，因此常规安全工具难以检测。它结合了TinyShell和3proxy的功能，支持命令执行、文件传输和网络隧道，使攻击者能长期潜伏并窃取数据。这提醒防御者需关注设备底层系统的异常活动。
受影响设备范围与检查工具
该漏洞影响多款Cisco交换机，包括MDS 9000、Nexus 3000、5500、5600、6000、7000和9000系列（独立NX-OS模式）。Cisco提供了软件检查工具帮助客户确认设备是否受影响。网络管理员应尽快排查这些型号，并评估其NX-OS版本是否存在风险。
APT战术演变与防御挑战
天鹅绒蚂蚁的战术从普通终端转向遗留服务器，再发展到利用零日漏洞攻击网络设备。网络设备通常限制用户访问底层操作系统，使得传统扫描方法难以发现入侵指标。这种演变凸显了国家支持APT团体的持续威胁，防御者需调整策略，加强对网络设备的监控和异常检测。
Q&A
天鹅绒蚂蚁组织是如何利用CVE-2024-20399漏洞的？
天鹅绒蚂蚁组织利用有效的管理员凭据逃离NX-OS命令行界面，执行任意命令，从而成功入侵网络设备。
CVE-2024-20399漏洞的影响有哪些？
该漏洞允许经过身份验证的攻击者以root身份执行任意命令，影响多个系列的Cisco交换机。
天鹅绒蚂蚁使用了什么恶意软件？
天鹅绒蚂蚁使用了名为“VELVETSHELL”的定制恶意软件，能够在底层操作系统上运行并规避常规安全工具。
Cisco对受影响设备的建议是什么？
Cisco建议客户监控管理员用户凭据的使用，并提供软件检查工具以确定设备是否受漏洞影响。
天鹅绒蚂蚁的攻击策略有什么演变？
天鹅绒蚂蚁的攻击策略从普通终端转向遗留服务器，再到利用零日漏洞攻击网络设备，显示出其战术的不断演变。
CVE-2024-20399漏洞的CVSS评分是多少？
CVE-2024-20399漏洞的CVSS评分为6.0。
