中国关联APT组织“天鹅绒蚂蚁”利用Cisco零日漏洞（CVE-2024-20399）

中国APT组织“天鹅绒蚂蚁”成功利用Cisco交换机的零日漏洞CVE-2024-20399入侵网络设备。

CVE-2024-20399漏洞允许经过身份验证的攻击者以root身份执行任意命令，源于对特定CLI命令参数验证不足。

天鹅绒蚂蚁利用有效的管理员凭据逃离NX-OS命令行界面，执行任意命令。

该组织部署了名为“VELVETSHELL”的定制恶意软件，能够在底层操作系统上运行并规避常规安全工具。

VELVETSHELL恶意软件结合了两个开源工具，具备执行命令、文件下载上传和建立网络流量隧道等功能。

受影响的Cisco设备包括多个系列的交换机，如MDS 9000、Nexus 3000、5500、5600、6000、7000和9000系列。

Cisco建议客户监控管理员用户凭据的使用，并提供软件检查工具以确定设备是否受漏洞影响。

美国网络安全和基础设施安全局（CISA）已将CVE-2024-20399添加到已知被利用漏洞目录中。

天鹅绒蚂蚁的战术不断演变，从普通终端转向遗留服务器，再到利用零日漏洞攻击网络设备。

APT组织的复杂操作显示出国家支持的APT团体所带来的持续威胁，展现了其高水平的资源和专业知识。