Sandworm wykorzystuje luki Cisco FMC do wdrażania nowej wersji Cyclops Blink

Wprowadzenie do problemu / definicja

Ukierunkowane ataki na urządzenia brzegowe i platformy zarządzania bezpieczeństwem należą dziś do najgroźniejszych scenariuszy dla firm i instytucji. Najnowsza kampania pokazuje, że przejęcie Cisco Firewall Management Center może zapewnić napastnikom szeroki wgląd w ruch sieciowy, konfigurację środowiska oraz dane administracyjne.

W analizowanym przypadku wykorzystano łańcuch dwóch podatności do wdrożenia nowego wariantu malware Cyclops Blink, przypisywanego aktywności grupy Sandworm. To istotna zmiana, ponieważ celem nie są już wyłącznie klasyczne urządzenia brzegowe, ale również systemy centralnie zarządzające politykami bezpieczeństwa.

W skrócie

Atakujący łączą dwie luki w Cisco Secure FMC, aby uzyskać dostęp do podatnych systemów i uruchomić złośliwe komponenty. W obserwowanej kampanii wdrażany jest odświeżony wariant Cyclops Blink, przystosowany do 64-bitowych systemów Linux x86-64.

wykorzystanie dwóch podatności w Cisco FMC,
uruchomienie komponentu pośredniego opartego na reverse shellu i proxy,
wdrożenie nowego wariantu Cyclops Blink,
mechanizmy trwałości, skanowanie sieci i selektywne przechwytywanie pakietów,
ryzyko kradzieży poświadczeń i dalszego ruchu bocznego w środowisku.

Kontekst / historia

Cyclops Blink został szerzej zauważony w 2022 roku jako modularny botnet i backdoor atakujący urządzenia sieciowe. Wcześniejsze analizy łączyły go z grupą Sandworm, znaną z operacji szpiegowskich i destrukcyjnych wymierzonych w infrastrukturę krytyczną.

Poprzednie kampanie koncentrowały się głównie na urządzeniach WatchGuard, a później również na wybranych urządzeniach ASUS. Charakterystyczną cechą malware była zdolność do utrzymywania trwałości nawet po restarcie systemu, a w niektórych scenariuszach także po legalnych aktualizacjach oprogramowania.

Obecna kampania wskazuje jednak na wyraźną ewolucję. Z perspektywy napastnika przejęcie platformy zarządzania bezpieczeństwem jest znacznie cenniejsze niż kompromitacja pojedynczego urządzenia brzegowego, ponieważ otwiera dostęp do konfiguracji polityk, segmentacji sieci i zasobów administracyjnych.

Analiza techniczna

Łańcuch ataku opiera się na dwóch podatnościach w Cisco Secure FMC. Pierwsza, oznaczona jako CVE-2026-20079, jest opisywana jako krytyczna luka typu authentication bypass, która może umożliwić nieuwierzytelnionemu atakującemu zdalne wykonanie kodu i przejęcie systemu z wysokimi uprawnieniami. Druga, CVE-2026-20316, sama w sobie ma niższą wagę, ale może wspierać dalszą eskalację uprawnień i rozszerzenie dostępu.

Z dostępnych analiz wynika, że atak rozpoczyna się od pobrania lekkiego komponentu pośredniego, wykorzystywanego jako reverse shell i kanał proxy. Taki etap daje operatorowi elastyczny dostęp do hosta i pozwala dostarczać kolejne ładunki bez konieczności natychmiastowego wdrażania pełnego implantu.

Następnie instalowany jest nowy wariant Cyclops Blink. Najważniejsza zmiana techniczna polega na odejściu od starszej architektury 32-bitowej PowerPC na rzecz 64-bitowego Linuksa x86-64. To znacząco zwiększa uniwersalność malware i ułatwia jego wykorzystanie poza wąskim zestawem urządzeń kojarzonych z wcześniejszymi kampaniami.

Nowa wersja korzysta również z bardziej ogólnych mechanizmów trwałości typowych dla systemów Linux, w tym podejścia opartego na SysV. Dzięki temu implant jest mniej zależny od niestandardowych modyfikacji firmware i łatwiej adaptuje się do kolejnych środowisk.

aktywne skanowanie sieci wewnętrznej,
przechwytywanie wybranych pakietów ruchu,
zbieranie hashy haseł,
pozyskiwanie informacji o procesach i liniach poleceń,
gromadzenie danych o konfiguracji i parametrach systemu.

Taki zestaw funkcji pokazuje, że Cyclops Blink nie służy wyłącznie do utrzymania dostępu. To również narzędzie rekonesansu, przygotowania dalszych etapów operacji oraz potencjalnego lateral movement w infrastrukturze ofiary.

Konsekwencje / ryzyko

Skutki kompromitacji Cisco FMC mogą być szczególnie poważne, ponieważ chodzi o system centralnie zarządzający bezpieczeństwem. Napastnik uzyskujący dostęp do takiej platformy może analizować topologię sieci, wyjątkowe reguły polityk, zależności między segmentami oraz dane wykorzystywane do administrowania środowiskiem.

W praktyce oznacza to wysokie ryzyko zarówno dla poufności, jak i integralności infrastruktury. Złośliwe oprogramowanie z funkcjami obserwacji pasywnej i aktywnej może być użyte nie tylko do szpiegostwa, ale także do przygotowania kolejnych faz ataku.

kradzież poświadczeń administracyjnych,
mapowanie sieci i identyfikacja kluczowych segmentów,
przechwytywanie wrażliwego ruchu,
utrzymywanie trwałego dostępu do środowiska,
wykorzystanie przejętego hosta jako punktu wyjścia do dalszych ataków.

Dodatkowo te same podatności były wykorzystywane także w innych kampaniach, obejmujących instalację web shelli, narzędzi do wykonywania poleceń oraz ransomware. To oznacza, że organizacje mają do czynienia nie z pojedynczym aktorem, lecz z szerszym ekosystemem zagrożeń szybko adaptujących publicznie ujawnione luki.

Rekomendacje

Organizacje korzystające z Cisco Secure FMC powinny potraktować ten scenariusz jako incydent wysokiego priorytetu. Odpowiedź powinna obejmować zarówno szybkie działania naprawcze, jak i rozszerzone czynności detekcyjne.

niezwłocznie wdrożyć dostępne poprawki i hotfixy producenta,
zweryfikować, które instancje FMC są wystawione na dostęp z sieci zewnętrznych,
przejrzeć system pod kątem nietypowych procesów, plików wykonywalnych i mechanizmów trwałości SysV,
przeanalizować logi pod kątem prób obejścia uwierzytelniania, uruchomień poleceń z wysokimi uprawnieniami i połączeń wychodzących do nieznanych hostów,
przeprowadzić rotację poświadczeń administracyjnych i serwisowych w przypadku podejrzenia kompromitacji,
ograniczyć zaufanie do infrastruktury zarządzającej poprzez segmentację i zasadę najmniejszych uprawnień,
uruchomić polowanie na zagrożenia w celu wykrycia ewentualnych działań następczych w środowisku,
przygotować plan odbudowy systemu z zaufanego źródła, jeśli infekcja zostanie potwierdzona.

Podsumowanie

Kampania wykorzystująca podatności Cisco Secure FMC do wdrażania nowego wariantu Cyclops Blink pokazuje rosnące znaczenie ataków na infrastrukturę zarządzającą bezpieczeństwem. Ewolucja malware, obejmująca przejście na 64-bitowy Linux, bardziej uniwersalne mechanizmy trwałości oraz rozbudowane funkcje rekonesansu, zwiększa jego wartość operacyjną dla napastników.

Dla obrońców to wyraźny sygnał, że systemy zarządzania bezpieczeństwem muszą być traktowane jak zasoby krytyczne. Szybkie łatanie, dokładna analiza śladów kompromitacji i konsekwentna segmentacja pozostają kluczowe dla ograniczenia skutków tego typu operacji.