4 دقائق قراءة المصدر: ratpack223 عبر Getty Images
يبدو أن فاعل تهديد روسي يقوم بنشر زرع برمجي متطور قادر على جمع بيانات الاعتماد، ومسح الشبكات الداخلية، والتقاط حركة المرور الحية على الأجهزة المخترقة من خلال ربط ثغرتين في تقنية مركز إدارة جدار الحماية (FMC) من سيسكو.
في تقارير منفصلة، حددت شركة Sophos وسيسكو البرمجية الخبيثة على أنها نسخة جديدة من Cyclops Blink، وهي شبكة بوتات ووصول خلفي تم ربطها سابقًا من قبل الوكالات الحكومية الأمريكية والبريطانية بـ Sandworm، وهو فاعل تهديد له صلات بمديرية الاستخبارات الرئيسية الروسية (GRU).
ثغرتان منفصلتان في سيسكو FMC
وصفت سيسكو نشاط Cyclops Blink بأنه واحدة من ثلاث حملات منفصلة تتضمن ثغرتين في برنامج FMC الآمن الخاص بها. واحدة من الثغرات هي CVE-2026-20079، وهي ثغرة تجاوز مصادقة ذات شدة قصوى تسمح لمهاجم بعيد غير مصادق له بتشغيل تعليمات برمجية عشوائية على الأجهزة المتأثرة والحصول على وصول الجذر إلى نظام التشغيل الأساسي. الثغرة الثانية، التي تم تتبعها كـ CVE-2026-20316، هي عيب أقل شدة مع درجة CVSS تبلغ 5.3 يسمح لمهاجم بعيد بتسجيل الدخول بصلاحيات منخفضة ثم استخدام ثغرات FMC السابقة لتصعيد الصلاحيات.
ذات صلة: ثغرة GitLab ذات الشدة القصوى تعرض سلاسل التوريد للخطر
يبدو أن فاعلي التهديد المرتبطين بـ Sandworm يقومون بربط الثغرتين أولاً لتنزيل أداة قشرة عكسية وأداة وكيل تعتمد على Netcat على أنظمة FMC الضعيفة ثم استخدام ذلك لنشر النسخة الجديدة من Cyclops Blink.
أصدرت سيسكو تصحيحات عاجلة لكلا الثغرتين الأسبوع الماضي و"نصحت بشدة" المنظمات التي تستخدم التقنية المتأثرة بتطبيقها على الفور، مشيرة إلى وجود أدلة على نشاط استغلال في العالم. وقالت الشركة إنها ستصدر إصدارًا أوسع وأكثر صلابة مع إصلاحات للثغرتين الجديدتين وثغرات أخرى تم اكتشافها داخليًا في FMC في وقت لاحق من هذا الأسبوع. "نظرًا للإساءة في العالم، نوصي بشدة العملاء بتطبيق التصحيحات العاجلة المشار إليها في أقرب وقت ممكن، في انتظار إصدار الصلابة"، قالت سيسكو.
Cyclops Blink هو برمجية خبيثة ظهرت لأول مرة في عام 2022 واستهدفت في البداية جدران الحماية WatchGuard، ولاحقًا، أجهزة ASUS. تضمنت وظائفه الأساسية إرسال معلومات حول الأجهزة المصابة إلى خوادم القيادة والتحكم (C2)، وتنزيل وتنفيذ ملفات خبيثة، وإضافة وحدات جديدة لتوسيع قدراته.
يمكن أن تستمر البرمجية الخبيثة عبر إعادة التشغيل وتحديثات البرامج الثابتة الشرعية، مما يجعل من الصعب إزالتها. ومع ذلك، قاد مكتب التحقيقات الفيدرالي عملية مصرح بها من المحكمة حيث وصل إلى أجهزة الضحايا، ونسخ برمجية Cyclops Blink الخبيثة، ثم أزالها.
ترقية كبيرة لـ Cyclops Blink
وفقًا لشركة Sophos، تحتفظ النسخة الأخيرة بالعديد من الميزات الأصلية بينما تضيف العديد من الميزات الجديدة. التغيير الأكثر أهمية هو أن البرمجية الخبيثة تعمل الآن على أنظمة Linux 64 بت x86-64 بدلاً من بنية PowerPC 32 بت الأقدم المستخدمة في النسخة الأصلية. كما أنها تستخدم تقنيات استمرارية Linux العامة بدلاً من تعديل البرامج الثابتة الخاصة بالبائع.
ذات صلة: فاعل التهديد يولد 1 مليون بريد إلكتروني احتيالي مخصص في 3 أيام
تضيف النسخة الجديدة من Cyclops Blink قدرات مسح نشط للشبكة والتقاط الحزم وتوسع وظائف جمع البيانات لتشمل تجزئات كلمات المرور، وخطوط أوامر العمليات، ومعلومات وحدة المعالجة المركزية، وبيانات التكوين. هذه التغييرات تجعل Cyclops Blink متوافقًا مع مجموعة أوسع من الأجهزة الشبكية المعتمدة على Linux وتمنح المهاجمين منصة أقوى للاستطلاع وجمع المعلومات الاستخباراتية، وفقًا لشركة Sophos.
"تزيل استمرارية SysV العامة في عينات Cyclops Blink 2026 الاعتماد على البرامج الثابتة الخاصة بـ WatchGuard، بينما توسع المسح النشط للشبكة والتقاط الحزم الانتقائي بشكل كبير من قدرات جمع المعلومات الاستخباراتية للزرع"، كتب باحثو Sophos. "تسلط الاكتشافات على أجهزة سيسكو FMC الضوء على المخاطر التي تشكلها بنية إدارة الشبكة المخترقة."
يمكن أن تمنح الأجهزة الشبكية المخترقة وغيرها من الأجهزة الطرفية المهاجمين نقطة vantage مميزة في البيئة الأوسع وتسمح لهم بمراقبة الحركة، وإجراء اختبارات الشبكة، وإطلاق هجمات إضافية، كما أشار البائع.
ذات صلة: هجوم سرب Papercut AI يبشر بتغييرات في سلسلة القتل السيبراني
بالإضافة إلى حملة Cyclops Blink الجديدة، هناك مجموعتان أخريان تستغلان بنشاط CVE-2026-20079 وCVE-2026-20316. المجموعة الأولى، التي تتعقبها سيسكو تالوس كـ UAT 12197، تستغل CVE-2026-20079 لزرع قشور ويب وأداة تنفيذ أوامر تعتمد على Java لسرقة بيانات الاعتماد. المجموعة الأخرى من التهديدات، UAT 11988، تستغل CVE-2026-20316 لتوزيع برامج الفدية Qilin.
نسبت شركة Sophos حملة Cyclops Blink الجديدة بثقة عالية إلى فاعلي التهديد المرتبطين بروسيا ولديها ثقة متوسطة في أنها مرتبطة بـ Sandworm، التي تتعقبها الشركة كـ Iron Viking. "تعكس الثقة المنخفضة في نسبة مجموعة التهديد غياب الأدلة القاطعة التي تربط مباشرة IRON VIKING بالعمليات الملاحظة في 2026"، كتب الباحثون.
Sandworm هي مجموعة قرصنة مدعومة من الدولة الروسية معروفة بكل من التجسس والعمليات السيبرانية التدميرية. تم ربط المجموعة ببعض من أكثر الهجمات السيبرانية تأثيرًا في العقد الماضي، بما في ذلك الهجمات التي عطلت شبكة الطاقة في أوكرانيا وتفشي NotPetya. مؤخرًا، وسعت Sandworm استخدامها للثغرات في البنية التحتية المعرضة للإنترنت للحصول على وصول إلى المنظمات في أوكرانيا وأماكن أخرى، بينما تواصل استهداف البنية التحتية الحيوية وغيرها من المنظمات ذات الأهمية الاستراتيجية.