Mandiant описала атаки на Cisco Catalyst SD-WAN Manager, Controller и Validator. Злоумышленники работали в инфраструктуре поставщика услуг, создавали поддельные peer-соединения и заходили в SD-WAN Manager через vmanage-admin. Cisco ранее говорила об ограниченном числе атак, но механизм раскрыла только сейчас.
Корень проблемы в том, что уже авторизованный пользователь мог загрузить подготовленный файл и выполнить команды с максимальными правами. В атаке использовали evil_tenant.csv, который менял /etc/passwd и /etc/shadow, добавлял учётную запись troot и открывал root-доступ. После выгрузки конфигураций атакующие возвращали пароль администратора и чистили следы.
Из рекомендаций: обновление Cisco SD-WAN до исправленных выпусков, потому что обходных мер нет. Также стоит проверить peer-соединения, конфигурации и следы учётной записи troot по индикаторам Mandiant. Такая атака опасна не самим фактом компрометации, а быстрым переходом к полному контролю над SD-WAN.