Wprowadzenie do problemu / definicja
Nowa kampania przypisywana grupie Sandworm pokazuje, jak groźne może być przejęcie systemów odpowiedzialnych za zarządzanie bezpieczeństwem sieci. Atakujący wykorzystują łańcuch podatności w Cisco Firewall Management Center, aby uzyskać uprzywilejowany dostęp do urządzenia, a następnie wdrożyć nową wersję malware Cyclops Blink.
To szczególnie niebezpieczny scenariusz, ponieważ kompromitacji ulega platforma mająca wgląd w polityki bezpieczeństwa, segmentację i ruch sieciowy. W praktyce oznacza to możliwość prowadzenia dalszych działań operacyjnych z poziomu zaufanej infrastruktury administracyjnej.
W skrócie
Kampania opiera się na wykorzystaniu dwóch podatności: CVE-2026-20079 oraz CVE-2026-20316. Pierwsza luka umożliwia obejście uwierzytelniania i zdalne wykonanie kodu z uprawnieniami roota, natomiast druga pozwala na uzyskanie dostępu z ograniczonymi uprawnieniami i dalszą eskalację.
Po uzyskaniu przyczółka napastnicy wdrażają narzędzia typu reverse shell, a następnie instalują zaktualizowany wariant Cyclops Blink. Nowa odsłona malware została rozbudowana o funkcje skanowania sieci, zbierania poświadczeń oraz przechwytywania ruchu.
Kontekst / historia
Cyclops Blink to modularny botnet i backdoor, który szerzej opisywano już w 2022 roku. Wcześniej kojarzono go głównie z infekowaniem urządzeń brzegowych i zapór sieciowych, a jego aktywność wielokrotnie łączono z operacjami przypisywanymi Sandworm.
Dotychczasowe kampanie pokazały, że urządzenia sieciowe i appliance’y bezpieczeństwa są atrakcyjnym celem dla zaawansowanych przeciwników. Zapewniają one nie tylko uprzywilejowany dostęp, ale również możliwość obserwacji ruchu, analizy topologii środowiska i planowania dalszej ekspansji w sieci ofiary.
Obecna aktywność sugeruje ewolucję zarówno technik ataku, jak i samego implantu. Operatorzy odchodzą od ograniczeń związanych z pojedynczymi platformami sprzętowymi i rozwijają malware w kierunku większej zgodności z systemami Linux wykorzystywanymi w infrastrukturze sieciowej.
Analiza techniczna
Kluczowym elementem kampanii jest łańcuchowe wykorzystanie dwóch podatności w Cisco FMC. CVE-2026-20079 ma charakter krytyczny i pozwala nieuwierzytelnionemu atakującemu zdalnie wykonać kod oraz uzyskać dostęp root do systemu bazowego. CVE-2026-20316 ma niższą ocenę, ale istotnie rozszerza możliwości ataku, umożliwiając logowanie z ograniczonym poziomem dostępu i dalsze działania eskalacyjne.
Według dostępnych analiz napastnicy najpierw umieszczają w systemie narzędzie oparte na Netcat, wykorzystywane jako reverse shell i kanał pośredniczący. Taki etap ułatwia utrzymanie dostępu, dostarczenie kolejnych komponentów oraz przemieszczanie się po środowisku.
Następnie wdrażany jest nowy wariant Cyclops Blink. Jedną z najważniejszych zmian jest przejście z architektury 32-bit PowerPC na 64-bit x86-64 Linux, co zwiększa kompatybilność z szerszą gamą urządzeń i systemów.
Zmianie uległy również mechanizmy utrwalania obecności. Zamiast polegać wyłącznie na technikach specyficznych dla konkretnego firmware, malware wykorzystuje bardziej uniwersalne metody persystencji dla systemów Linux, w tym rozwiązania zgodne z klasycznym modelem SysV.
Funkcjonalność implantu została wyraźnie rozszerzona. Obejmuje ona nie tylko cechy botnetu i backdoora, ale także agresywniejsze możliwości rekonesansu i zbierania danych.
- aktywne skanowanie sieci wewnętrznej,
- selektywne przechwytywanie pakietów,
- zbieranie hashy haseł,
- pozyskiwanie informacji o procesach i konfiguracji systemu,
- gromadzenie danych o parametrach sprzętowych, w tym CPU.
Taki zestaw funkcji wskazuje, że celem atakujących nie jest wyłącznie utrzymanie pojedynczego hosta, lecz stworzenie trwałego punktu obserwacyjnego służącego do dalszego rozpoznania, kradzieży poświadczeń i rozwijania operacji wewnątrz organizacji.
Warto też podkreślić, że ta sama para podatności była wykorzystywana również w innych kampaniach. Obserwowano przypadki instalowania web shelli, narzędzi do zdalnego wykonywania poleceń, a także aktywność powiązaną z dystrybucją ransomware.
Konsekwencje / ryzyko
Przejęcie platformy zarządzającej zaporami i politykami bezpieczeństwa to incydent o bardzo wysokiej wadze operacyjnej. Tego typu system zwykle ma dostęp do wiedzy o segmentacji sieci, regułach dostępu, zdarzeniach bezpieczeństwa i zasobach krytycznych.
W praktyce daje to napastnikowi możliwość obserwacji ruchu, identyfikacji cennych systemów i planowania kolejnych etapów ataku z pozycji uprzywilejowanej. Rozbudowane funkcje przechwytywania ruchu i gromadzenia danych zwiększają ryzyko kradzieży poświadczeń administracyjnych, danych konfiguracyjnych oraz informacji przydatnych do pivotingu.
Dodatkowym problemem jest stosowanie bardziej uniwersalnych technik persystencji. Utrudnia to wykrycie i pełne usunięcie zagrożenia, zwłaszcza w środowiskach, które monitorują appliance’y sieciowe mniej rygorystycznie niż serwery czy stacje robocze.
Szczególnie narażone pozostają organizacje posiadające interfejsy zarządzające dostępne z Internetu, rozproszone środowiska administracyjne oraz infrastrukturę krytyczną. W takich przypadkach kompromitacja może objąć nie tylko pojedyncze urządzenie, ale całą domenę administracyjną.
Rekomendacje
Organizacje korzystające z Cisco Secure FMC powinny priorytetowo wdrożyć dostępne poprawki i aktualizacje bezpieczeństwa. Zwłoka w patchowaniu znacząco zwiększa ryzyko, zwłaszcza że luki były aktywnie wykorzystywane w rzeczywistych atakach.
Równolegle warto przeprowadzić przegląd oznak kompromitacji zarówno na systemach FMC, jak i w powiązanej infrastrukturze. Należy zweryfikować obecność nietypowych procesów, mechanizmów persystencji, połączeń wychodzących, reverse shelli, niestandardowych plików wykonywalnych oraz śladów narzędzi opartych na Netcat.
Zespoły bezpieczeństwa powinny podjąć następujące działania:
- ograniczyć ekspozycję interfejsów zarządzających do zaufanych adresów i segmentów,
- wymusić separację sieciową dla systemów administracyjnych,
- wdrożyć monitoring integralności i mechanizmy EDR tam, gdzie platforma na to pozwala,
- rotować poświadczenia administracyjne po wykryciu lub podejrzeniu incydentu,
- przeszukać środowisko pod kątem ruchu lateralnego i wtórnych implantów,
- skorelować logi z urządzeń brzegowych, serwerów i systemów IAM.
Dobrą praktyką pozostaje traktowanie appliance’y bezpieczeństwa jak systemów krytycznych, które wymagają pełnego hardeningu, centralnego monitoringu i regularnego threat huntingu. W wielu organizacjach to właśnie te urządzenia nadal stanowią słabiej chronioną warstwę infrastruktury.
Podsumowanie
Kampania wykorzystująca CVE-2026-20079 i CVE-2026-20316 potwierdza, że infrastruktura bezpieczeństwa pozostaje atrakcyjnym celem zarówno dla aktorów państwowych, jak i grup nastawionych na zysk. Nowa wersja Cyclops Blink jest bardziej przenośna, lepiej dostosowana do środowisk Linux i wyposażona w funkcje zwiększające wartość wywiadowczą przejętego urządzenia.
Dla obrońców oznacza to konieczność szybkiego patchowania, dokładnego monitorowania appliance’y sieciowych oraz traktowania systemów zarządzających jako zasobów o najwyższym priorytecie ochrony.
Źródła
- Dark Reading — https://www.darkreading.com/cyberattacks-data-breaches/sandworm-chains-cisco-vulnerabilities-cyclops-blink
- Cisco Talos Blog — https://blog.talosintelligence.com/
- Cisco Security Advisory: CVE-2026-20079 — https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/
- Cisco Security Advisory: CVE-2026-20316 — https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/
- Sophos X-Ops — https://news.sophos.com/en-us/category/x-ops/