یک بازیگر تهدید احتمالی روسی در حال استقرار یک بدافزار پیچیده است که قادر به جمع‌آوری اعتبارنامه‌ها، اسکن شبکه‌های داخلی و ضبط ترافیک زنده بر روی دستگاه‌های آسیب‌دیده است، با زنجیره‌سازی دو آسیب‌پذیری در فناوری مرکز مدیریت فایروال سیسکو (FMC).
در گزارش‌های جداگانه، Sophos و سیسکو این بدافزار را به عنوان نسخه جدیدی از Cyclops Blink شناسایی کردند، یک بات‌نت مدولار و درب پشتی که سازمان‌های دولتی ایالات متحده و بریتانیا قبلاً آن را به Sandworm، یک بازیگر تهدید با ارتباطاتی با اداره اصلی اطلاعات روسیه (GRU) مرتبط کرده‌اند.
دو آسیب‌پذیری جداگانه سیسکو FMC
سیسکو فعالیت Cyclops Blink را به عنوان یکی از سه کمپین جداگانه که شامل دو آسیب‌پذیری در نرم‌افزار Secure FMC خود است توصیف کرد. یکی از آسیب‌پذیری‌ها CVE-2026-20079 است، یک آسیب‌پذیری دور زدن احراز هویت با شدت حداکثر که به یک مهاجم از راه دور غیرمجاز اجازه می‌دهد کد دلخواهی را بر روی دستگاه‌های آسیب‌دیده اجرا کند و به دسترسی ریشه به سیستم‌عامل زیرین دست یابد. آسیب‌پذیری دوم، که به عنوان CVE-2026-20316 ردیابی می‌شود، یک نقص با شدت پایین‌تر با امتیاز 5.3 CVSS است که به یک مهاجم از راه دور اجازه می‌دهد با امتیازات کم وارد شود و سپس از سایر آسیب‌پذیری‌های قبلی FMC برای افزایش امتیازات استفاده کند.
مربوط: آسیب‌پذیری با شدت حداکثر در GitLab زنجیره‌های تأمین را در معرض خطر قرار می‌دهد
بازیگران تهدید که احتمالاً به Sandworm مرتبط هستند، این دو نقص را زنجیره‌سازی می‌کنند تا ابتدا یک ابزار معکوس Netcat و پروکسی را بر روی سیستم‌های آسیب‌پذیر FMC دانلود کنند و سپس از آن برای استقرار نسخه جدید Cyclops Blink استفاده کنند.
سیسکو هفته گذشته اصلاحات فوری برای هر دو باگ منتشر کرد و "به شدت به" سازمان‌ها توصیه کرد که از فناوری آسیب‌دیده استفاده می‌کنند، آن‌ها را بلافاصله اعمال کنند و به شواهد فعالیت‌های بهره‌برداری در جهان اشاره کرد. این شرکت اعلام کرد که در اواخر این هفته یک نسخه سخت‌افزاری گسترده‌تر با اصلاحات برای دو نقص جدید و سایر آسیب‌پذیری‌های کشف شده داخلی در FMC منتشر خواهد کرد. "با توجه به سوءاستفاده‌های موجود، ما به شدت توصیه می‌کنیم که مشتریان اصلاحات فوری اشاره شده را هر چه سریع‌تر اعمال کنند، تا زمان انتشار نسخه سخت‌افزاری"، سیسکو گفت.
Cyclops Blink یک بدافزار است که اولین بار در سال 2022 ظاهر شد و در ابتدا فایروال‌های WatchGuard و سپس دستگاه‌های ASUS را هدف قرار داد. عملکردهای اصلی آن شامل ارسال اطلاعات درباره دستگاه‌های آلوده به سرورهای فرمان و کنترل (C2)، دانلود و اجرای فایل‌های مخرب و افزودن ماژول‌های جدید برای گسترش قابلیت‌های آن بود.
این بدافزار می‌تواند از طریق راه‌اندازی مجدد و به‌روزرسانی‌های قانونی نرم‌افزار پایدار بماند و حذف آن را دشوار کند. با این حال، FBI یک عملیات مجاز به‌وسیله دادگاه را رهبری کرد که در آن به دستگاه‌های قربانیان دسترسی پیدا کرد، بدافزار Cyclops Blink را کپی کرد و سپس آن را حذف کرد.
یک ارتقاء قابل توجه برای Cyclops Blink
نسخه جدید، به گفته Sophos، بسیاری از ویژگی‌های اصلی را حفظ کرده در حالی که چندین ویژگی جدید را اضافه کرده است. تغییر قابل توجه این است که بدافزار اکنون بر روی سیستم‌های 64 بیتی x86-64 Linux اجرا می‌شود و نه بر روی معماری قدیمی 32 بیتی PowerPC که در نسخه اصلی استفاده می‌شد. همچنین از تکنیک‌های پایداری عمومی Linux به جای تغییر نرم‌افزار خاص فروشنده استفاده می‌کند.
مربوط: بازیگر تهدید 1 میلیون ایمیل تقلبی شخصی‌سازی شده در 3 روز تولید می‌کند
نسخه جدید Cyclops Blink قابلیت‌های اسکن شبکه فعال و ضبط بسته را اضافه می‌کند و عملکردهای جمع‌آوری داده‌های آن را گسترش می‌دهد تا شامل هش‌های رمز عبور، خطوط فرمان فرآیند، اطلاعات CPU و داده‌های پیکربندی شود. این تغییرات به احتمال زیاد Cyclops Blink را با دامنه وسیع‌تری از دستگاه‌های شبکه مبتنی بر Linux سازگار می‌کند و به مهاجمان یک پلتفرم قدرتمندتر برای شناسایی و جمع‌آوری اطلاعات می‌دهد، به گفته Sophos.
"پایداری عمومی SysV در نمونه‌های Cyclops Blink 2026 وابستگی به نرم‌افزار خاص WatchGuard را حذف می‌کند، در حالی که اسکن شبکه فعال و ضبط انتخابی بسته به طور قابل توجهی قابلیت‌های جمع‌آوری اطلاعات این ایمپلنت را گسترش می‌دهد"، محققان Sophos نوشتند. "کشف در دستگاه‌های سیسکو FMC خطر ناشی از زیرساخت مدیریت شبکه آسیب‌دیده را نشان می‌دهد."
دستگاه‌های شبکه آسیب‌دیده و سایر دستگاه‌های لبه می‌توانند به مهاجمان یک نقطه دید ممتاز به محیط وسیع‌تر بدهند و به آن‌ها اجازه می‌دهند ترافیک را مشاهده کنند، پروب‌های شبکه را انجام دهند و حملات اضافی را راه‌اندازی کنند، فروشنده اشاره کرد.
مربوط: حمله زنبورک هوش مصنوعی Papercut تغییراتی را برای زنجیره کشتار سایبری نوید می‌دهد
علاوه بر کمپین جدید Cyclops Blink، دو گروه دیگر به طور فعال از CVE-2026-20079 و CVE-2026-20316 سوءاستفاده می‌کنند. خوشه اول، که سیسکو تالس آن را به عنوان UAT 12197 ردیابی می‌کند، از CVE-2026-20079 برای کاشت وب شل‌ها و یک ابزار اجرای فرمان مبتنی بر جاوا برای سرقت اعتبارنامه‌ها سوءاستفاده می‌کند. خوشه تهدید دیگر، UAT 11988، از CVE-2026-20316 برای توزیع باج‌افزار Qilin سوءاستفاده می‌کند.
Sophos کمپین جدید Cyclops Blink را با اطمینان بالا به بازیگران مرتبط با روسیه نسبت داده و اطمینان متوسطی دارد که با Sandworm مرتبط است، که فروشنده آن را به عنوان Iron Viking ردیابی می‌کند. "عدم اطمینان پایین در انتساب گروه تهدید منعکس‌کننده عدم وجود شواهد قاطع که به طور مستقیم IRON VIKING را به استقرارهای مشاهده شده 2026 مرتبط کند"، محققان نوشتند.
Sandworm یک گروه هکری تحت حمایت دولت روسیه است که به خاطر عملیات‌های جاسوسی و مخرب سایبری شناخته شده است. این گروه به برخی از مهم‌ترین حملات سایبری دهه گذشته مرتبط بوده است، از جمله حملاتی که شبکه برق اوکراین را مختل کرد و شیوع NotPetya. به تازگی، Sandworm استفاده از آسیب‌پذیری‌ها در زیرساخت‌های در معرض اینترنت را برای دسترسی به سازمان‌ها در اوکراین و جاهای دیگر گسترش داده است، در حالی که به هدف قرار دادن زیرساخت‌های حیاتی و سایر سازمان‌های استراتژیک ادامه می‌دهد.