Les auteurs de la menace ont utilisé une vulnérabilité Zero Day de gravité maximale dans les systèmes Cisco Identity Service Engine (ISE) et Citrix pour déployer des logiciels malveillants de porte dérobée personnalisés. L’équipe de renseignement sur les menaces d’Amazon identifié une validation insuffisante de la vulnérabilité d’entrée fournie par l’utilisateur dans les déploiements Cisco ISE. Cela a permis l’exécution de code à distance de pré-authentification sur les points de terminaison compromis, fournissant un accès de niveau administrateur. Le bug, suivi comme CVE-2025-20337a un score de gravité de 10/10 (critique). Les chercheurs ont découvert cette intrusion en enquêtant sur une vulnérabilité Citrix Bleed Two, également exploitée en tant que zero-day. Selon le Page MVN« Une vulnérabilité dans une API spécifique de Cisco ISE et Cisco ISE-PIC pourrait permettre à un attaquant distant non authentifié d’exécuter du code arbitraire sur le système d’exploitation sous-jacent en tant que root. » L’avis indique : « L’attaquant n’a besoin d’aucune information d’identification valide pour exploiter cette vulnérabilité », indiquant que les exploits se produisent en soumettant une requête API contrefaite. Les attaquants ont déployé un shell Web personnalisé déguisé en composant Cisco ISE légitime nommé IdentityAuditAction. Amazon a expliqué que ce malware n’était pas disponible dans le commerce mais conçu sur mesure pour les environnements Cisco ISE. Le shell Web fonctionnait entièrement en mémoire, utilisait la réflexion Java pour injecter dans les threads en cours d’exécution et s’enregistrait en tant qu’écouteur pour surveiller les requêtes HTTP sur le serveur Tomcat. Il a également implémenté le cryptage DES avec un codage Base64 non standard. Accédez aux connaissances requises sur les en-têtes HTTP spécifiques. Amazon n’a attribué les attaques à aucun acteur menaçant en particulier, affirmant que les attaques n’étaient pas ciblées mais utilisées sans discernement contre de nombreuses organisations.
