'Песчаный червь' связывает уязвимости Cisco для развертывания Cyclops Blink

4 минуты чтенияИсточник: ratpack223 через Getty ImagesВероятный российский злоумышленник развертывает сложный вредоносный имплант, способный собирать учетные данные, сканировать внутренние сети и захватывать живой трафик на скомпрометированных устройствах, используя две уязвимости в технологии Центра управления брандмауэрами Cisco (FMC).В отдельных отчетах Sophos и Cisco идентифицировали вредоносное ПО как новую версию Cyclops Blink, модульной бот-сети и задней двери, которую ранее связывали с Песчаным червем, злоумышленником, имеющим связи с Главным разведывательным управлением России (ГРУ).Две отдельные уязвимости Cisco FMCCisco описал активность Cyclops Blink как одну из трех отдельных кампаний, связанных с двумя уязвимостями в его программном обеспечении Secure FMC. Одна из уязвимостей — CVE-2026-20079, уязвимость обхода аутентификации максимальной степени серьезности, которая позволяет неаутентифицированному удаленному злоумышленнику выполнять произвольный код на затронутых устройствах и получать доступ к корневой системе операционной системы. Вторая уязвимость, отслеживаемая как CVE-2026-20316, является менее серьезным дефектом с оценкой 5.3 по CVSS, который позволяет удаленному злоумышленнику войти с низкими привилегиями, а затем использовать другие предыдущие уязвимости FMC для повышения привилегий.Связано: Уязвимость GitLab максимальной степени серьезности ставит под угрозу цепочки поставокЗлоумышленники, возможно связанные с Песчаным червем, связывают две уязвимости, чтобы сначала загрузить инструмент обратной оболочки и прокси на уязвимые системы FMC, а затем использовать его для развертывания новой вариации Cyclops Blink.Cisco выпустила исправления для обеих уязвимостей на прошлой неделе и "настойчиво рекомендовала" организациям, использующим затронутую технологию, немедленно применить их, ссылаясь на доказательства активности эксплуатации в мире. Компания заявила, что выпустит более широкую, защищенную версию с исправлениями для двух новых уязвимостей и других внутренних уязвимостей в FMC позже на этой неделе. "Учитывая злоупотребления в дикой природе, мы настоятельно рекомендуем клиентам применить упомянутые исправления как можно скорее, ожидая выхода защищенной версии", — заявила Cisco.Cyclops Blink — это вредоносное ПО, которое впервые появилось в 2022 году и изначально нацеливалось на брандмауэры WatchGuard, а позже — на устройства ASUS. Его основные функции включали передачу информации о зараженных устройствах на серверы командования и управления (C2), загрузку и выполнение вредоносных файлов, а также добавление новых модулей для расширения своих возможностей.Вредоносное ПО могло сохраняться даже после перезагрузок и легитимных обновлений прошивки, что затрудняло его удаление. Тем не менее, ФБР провело операцию с судебным разрешением, в ходе которой оно получило доступ к устройствам жертв, скопировало вредоносное ПО Cyclops Blink и затем удалило его.Значительное обновление для Cyclops BlinkСогласно Sophos, последняя вариация сохраняет многие из оригинальных функций, добавляя при этом несколько новых. Наиболее значительное изменение заключается в том, что вредоносное ПО теперь работает на 64-битных системах Linux x86-64, а не на старой 32-битной архитектуре PowerPC, используемой оригинальной версией. Оно также использует общие методы сохранения в Linux вместо модификации специфической для производителя прошивки.Связано: Злоумышленник генерирует 1 миллион персонализированных мошеннических писем за 3 дняНовая вариация Cyclops Blink добавляет активное сканирование сети и возможности захвата пакетов и расширяет свои функции сбора данных, включая хеши паролей, командные строки процессов, информацию о ЦП и данные конфигурации. Эти изменения потенциально делают Cyclops Blink совместимым с более широким спектром сетевых устройств на базе Linux и предоставляют злоумышленникам более мощную платформу для разведки и сбора информации, заявила Sophos."Общая SysV-постоянство в образцах Cyclops Blink 2026 устраняет зависимость от специфической для WatchGuard прошивки, в то время как активное сканирование сети и выборочный захват пакетов существенно расширяют возможности сбора информации импланта", — написали исследователи Sophos. "Обнаружение на устройствах Cisco FMC подчеркивает риск, который представляют скомпрометированные инфраструктуры управления сетью."Скомпрометированные сетевые устройства и другие устройства на краю могут предоставить злоумышленникам привилегированную точку зрения на более широкую среду и позволить им наблюдать за трафиком, проводить сетевые проверки и запускать дополнительные атаки, отметил поставщик.Связано: Атака AI Swarm Papercut предвещает изменения для кибер-убийственной цепиВ дополнение к новой кампании Cyclops Blink, две другие группы активно эксплуатируют CVE-2026-20079 и CVE-2026-20316. Первый кластер, который Cisco Talos отслеживает как UAT 12197, использует CVE-2026-20079 для установки веб-оболочек и инструмента выполнения команд на основе Java для кражи учетных данных. Другой кластер угроз, UAT 11988, использует CVE-2026-20316 для распространения программ-вымогателей Qilin.Sophos с высокой степенью уверенности приписал новую кампанию Cyclops Blink актерам, связанным с Россией, и имеет умеренную уверенность в том, что она связана с Песчаным червем, который поставщик отслеживает как Iron Viking. "Низкая уверенность в атрибуции группы угроз отражает отсутствие убедительных доказательств, напрямую связывающих IRON VIKING с наблюдаемыми развертываниями 2026 года", — написали исследователи.Песчаный червь — это группа хакеров, спонсируемая государством России, известная как шпионская, так и разрушительной кибероперациями. Группа была связана с некоторыми из самых значительных кибератак последнего десятилетия, включая атаки, которые нарушили энергосистему Украины, и вспышку NotPetya. В последнее время Песчаный червь расширил использование уязвимостей в инфраструктуре, доступной в Интернете, чтобы получить доступ к организациям в Украине и других местах, продолжая нацеливаться на критическую инфраструктуру и другие стратегически важные организации.