Mit Sandworm verbundene Akteure verknüpfen Cisco-FMC-Schwachstellen zur Verbreitung des neuen Cyclops Blink

Ein mutmaßlich mit dem russischen Staat verbundener Bedrohungsakteur nutzt zwei Schwachstellen in Cisco Secure Firewall Management Center aus, um eine erweiterte Version der Hintertür Cyclops Blink zu installieren.

Die Angriffskette kombiniert eine kritische Authentifizierungsumgehung, CVE-2026-20079, mit einer Schwachstelle durch statische Zugangsdaten, CVE-2026-20316. Die Angreifer verschaffen sich Zugriff auf verwundbare FMC-Systeme, richten eine auf Netcat basierende Reverse Shell und einen Proxy ein und installieren anschließend die neue Malware-Variante.

Sophos bewertete mit hoher Wahrscheinlichkeit, dass die Betreiber einen Russlandbezug haben. Die Aktivitäten schrieb das Unternehmen mit mittlerer Wahrscheinlichkeit Sandworm zu, einer von Sophos als Iron Viking geführten Gruppierung. Ausschlaggebend für die niedrigere Zuordnungssicherheit war, dass die Ermittler keine eindeutigen Belege fanden, die die beobachteten Installationen direkt mit dieser Gruppe verknüpfen.

Der genaue Beginn und das vollständige Ausmaß der Kampagne sind nicht bekannt. Beide Schwachstellen werden jedoch aktiv ausgenutzt und wurden in den Katalog der bekannten ausgenutzten Schwachstellen der US-Behörde Cybersecurity and Infrastructure Security Agency aufgenommen.

Zwei FMC-Schwachstellen öffnen den Zugang

Cisco Secure Firewall Management Center ist für Angreifer besonders wertvoll, weil die Plattform eine vertrauenswürdige Position in der Infrastruktur für das Netzwerkmanagement einnimmt. Die Kompromittierung der Plattform kann Einblick in Datenverkehr, Konfigurationen, Zugangsdaten und Systeme hinter dem Netzwerkperimeter ermöglichen.

Die beiden ausgenutzten Schwachstellen unterscheiden sich deutlich hinsichtlich ihrer Schweregrade und unmittelbaren Auswirkungen:

Schwachstelle	Betroffene Versionen	Technische Auswirkungen	CVSS
CVE-2026-20079	Cisco Secure Firewall Management Center 7.0.0	Authentifizierungsumgehung ohne Anmeldung, die zur Ausführung von Skripten oder Befehlen und möglicherweise zum Erlangen von Root-Rechten führt	10
CVE-2026-20316	Cisco Secure Firewall Management Center 7.0.9 und früher	Statische Zugangsdaten ermöglichen den Zugriff ohne Anmeldung über ein Konto mit geringen Rechten und die Offenlegung sensibler Daten	5,3

CVE-2026-20079 befindet sich in der FMC-Weboberfläche und ist auf einen fehlerhaft konfigurierten Systemprozess zurückzuführen, der beim Start erstellt wird. Ein Angreifer aus der Ferne kann manipulierte HTTP-Anfragen senden, ohne sich zuvor zu authentifizieren. Eine erfolgreiche Ausnutzung ermöglicht die Ausführung von Skripten und Befehlen mit ausreichenden Berechtigungen, um Root-Zugriff auf das zugrunde liegende Betriebssystem zu erlangen.

Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H spiegelt die Ausnutzung aus der Ferne, die geringe Angriffskomplexität, die nicht erforderlichen Berechtigungen oder Benutzerinteraktionen sowie die hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit wider. Die Schwachstelle ist als CWE-288, Authentifizierungsumgehung über einen alternativen Pfad oder Kanal, klassifiziert.

CVE-2026-20316 hat unmittelbar eine geringere Reichweite. Die FMC-Oberfläche weist einem Konto mit geringen Rechten statische Zugangsdaten zu. Dadurch kann sich ein Angreifer aus der Ferne authentifizieren, ohne über gültige Zugangsdaten eines Benutzers zu verfügen. Die unmittelbare Folge ist der Zugriff auf sensible Informationen, die für dieses Konto verfügbar sind.

Cisco warnte außerdem, dass Angreifer diesen Zugriff mit bereits bekannten FMC-Schwachstellen kombinieren können, um ihre Rechte auszuweiten. Der Vektor lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N; die Schwachstelle ist als CWE-259, Verwendung eines fest codierten Passworts, klassifiziert.

Der niedrigere Wert von 5,3 bedeutet kein geringes operatives Risiko. CVE-2026-20316 wird aktiv ausgenutzt und wurde auch in Ransomware-Kampagnen eingesetzt.

Cyclops Blink richtet sich nicht mehr nur gegen die ursprünglichen Appliance-Ziele

Nach der Ausnutzung der FMC-Installation richten die mutmaßlich mit Sandworm verbundenen Betreiber ein auf Netcat basierendes Reverse-Shell- und Proxy-Tool ein. Diese Zwischenkomponenten verschaffen ihnen einen interaktiven Kanal und bereiten das System auf die Installation von Cyclops Blink vor.

Cyclops Blink ist ein modulares Botnetz und eine Hintertür, die US-amerikanische und britische Behörden zuvor mit Sandworm in Verbindung gebracht haben. Die Malware tauchte erstmals 2022 auf und kompromittierte zunächst WatchGuard-Firewalls und später ASUS-Geräte.

Frühere Versionen konnten Informationen zu infizierten Geräten an eine Command-and-Control-Infrastruktur melden, Dateien herunterladen und ausführen sowie zusätzliche Module laden. Außerdem waren sie darauf ausgelegt, Neustarts und legitime Firmware-Updates zu überstehen.

Die neu identifizierte Variante stellt eine grundlegende Überarbeitung dar. Sie läuft auf 64-Bit-x86-64-Linux statt auf der früher verwendeten 32-Bit-PowerPC-Architektur und ist für ihre Persistenz nicht mehr auf firmware-spezifische Änderungen von WatchGuard angewiesen.

Stattdessen verwendet sie generische SysV-Persistenzmechanismen, die auf einer größeren Bandbreite von Linux-Systemen verfügbar sind. Dadurch könnte sich das Implantat gegen Linux-basierte Netzwerk-Appliances einsetzen lassen, die über die in früheren Kampagnen angegriffenen Produkte hinausgehen.

Die neue Version kann außerdem:

• Interne Netzwerke nach weiteren Systemen durchsuchen.
• Live-Netzwerkpakete gezielt mitschneiden.
• Passwort-Hashes sammeln.
• Befehlszeilen von Prozessen aufzeichnen.
• Informationen zu CPU und Systemkonfiguration erfassen.
• Das Beaconing zur Command-and-Control-Infrastruktur aufrechterhalten.
• Zusätzliche Payloads herunterladen und ausführen.
• Module laden, die ihre Fähigkeiten erweitern.

Diese Funktionen machen aus einer kompromittierten Management-Appliance mehr als eine dauerhaft bestehende Hintertür. Der Angreifer kann sie als Plattform zur Aufklärung, als Punkt für die Erfassung von Datenverkehr, als Quelle für Zugangsdaten und als Sprungbrett für die weitere Bewegung im Netzwerk nutzen.

Zuordnung zu Sandworm bleibt mit Vorbehalt

Sophos schrieb die Kampagne mit hoher Wahrscheinlichkeit Betreibern mit Russlandbezug zu, bewertete die konkrete Verbindung zu Sandworm jedoch nur mit mittlerer Wahrscheinlichkeit. Der Unterschied ist wichtig: Die Ermittler erkannten Cyclops Blink und Infrastrukturmerkmale, die mit russischen Operationen in Verbindung stehen, fanden aber keine eindeutigen Belege dafür, dass diese konkreten Kompromittierungen auf Iron Viking zurückgehen.

Sandworm wurde bereits mit Spionage und zerstörerischen Angriffen in Verbindung gebracht, darunter Störungen des ukrainischen Stromnetzes und der Ausbruch von NotPetya. Die Gruppe hat außerdem internetseitig erreichbare Infrastrukturen und strategisch wichtige Organisationen angegriffen.

Die Verbindung zur Malware stärkt diese Einschätzung, beweist jedoch nicht, dass jede Cyclops-Blink-Installation von demselben Betreiber kontrolliert wird. Die gemeldete Cisco-FMC-Kampagne sollte daher als wahrscheinlich mit Sandworm verbunden, nicht aber als eindeutig zugeordnet betrachtet werden.

Cisco Talos hat zwei weitere Aktivitätscluster identifiziert, die dieselben Schwachstellen für andere Ziele ausnutzen. Es gibt keine gesicherten Belege dafür, dass alle drei Kampagnen denselben Betreiber haben.

UAT 12197 nutzt CVE-2026-20079, um Webshells und ein Java-basiertes Tool zur Befehlsausführung zu installieren; zu den Zielen gehört der Diebstahl von Zugangsdaten. UAT 11988 verwendet CVE-2026-20316 zur Verbreitung der Qilin-Ransomware.

Die Schwachstellen unterstützen somit staatlich verbundene Eindringversuche, den Diebstahl von Zugangsdaten, dauerhaften Fernzugriff und die Verbreitung finanziell motivierter Ransomware.

Fristen der CISA sind bereits abgelaufen

Die CISA nahm CVE-2026-20316 am 29. Juli 2026 in ihren KEV-Katalog auf. Für US-Bundesbehörden mit zivilem Aufgabenbereich galt eine Behebungsfrist bis zum 1. August 2026. Im Katalog ist die Nutzung der Schwachstelle in Ransomware-Kampagnen vermerkt.

CVE-2026-20079 wurde am 9. September 2026 in den KEV-Katalog aufgenommen. Die Behebungsfrist für Bundesbehörden endete am 12. September 2026.

Die CISA verpflichtet Behörden, die vom Hersteller bereitgestellten Abhilfemaßnahmen umzusetzen und dabei BOD 26-04, „Priorisierung von Sicherheitsupdates auf Grundlage des Risikos“, sowie ihre Anforderungen an die forensische Triage einzuhalten. Organisationen müssen außerdem die Internet-Exponierung jedes Assets bewerten. Für betroffene Cloud-Dienste müssen Behörden die jeweils geltenden Vorgaben aus BOD 26-04 befolgen oder das Produkt nicht mehr verwenden, wenn keine Abhilfemaßnahmen verfügbar sind.

Die Einträge sind Teil einer größeren Reihe kürzlich ausgenutzter Cisco-Schwachstellen. Weitere Cisco-Schwachstellen, die in den vorangegangenen 90 Tagen in den KEV-Katalog aufgenommen wurden, sind CVE-2026-20349 am 11. August 2026, CVE-2008-4128 am 13. Juli 2026 und CVE-2026-20230 am 25. Juni 2026.

Hotfixes müssen durch eine forensische Untersuchung ergänzt werden

Cisco hat Hotfixes für beide FMC-Schwachstellen veröffentlicht und Kunden aufgefordert, diese unverzüglich zu installieren. Das Unternehmen plant außerdem eine umfassender gehärtete Version, die diese Probleme sowie weitere intern entdeckte FMC-Schwachstellen behebt. Ein Veröffentlichungstermin wurde nicht genannt.

Administratoren sollten alle FMC-Installationen erfassen, insbesondere Version 7.0.0 sowie Installationen mit Version 7.0.9 oder früher. Anschließend sollten sie die Hotfixes von Cisco anwenden und die gehärtete Version installieren, sobald diese verfügbar ist.

Die Behebung allein kann nicht belegen, dass ein System zuvor nicht kompromittiert wurde. Sicherheitsteams sollten FMC-Hosts und die Telemetriedaten des umliegenden Netzwerks auf Folgendes untersuchen:

• Nicht autorisierte Webshells.
• Netcat-Reverse-Shells oder unerwartete Proxy-Aktivitäten.
• Unbekannte Java-Komponenten zur Befehlsausführung.
• Verdächtige SysV-Starteinträge oder -Dienste.
• Von einer FMC-Appliance ausgehende interne Scans.
• Selektives Mitschneiden von Datenverkehr.
• Zugriffe auf Passwort-Hashes oder sensible Konfigurationsdaten.
• Anomale ausgehende Verbindungen und Beaconing zur Command-and-Control-Infrastruktur.
• Unerwartete Befehlszeilen von Prozessen oder heruntergeladene ausführbare Dateien.
• Hinweise auf den Diebstahl von Zugangsdaten oder anschließende laterale Bewegungen.

In den verfügbaren Berichten werden keine spezifischen Datei-Hashes, Domains oder IP-Adressen genannt. Die Verteidiger müssen daher die vom Hersteller bereitgestellten Indikatoren mit verhaltensbasierten Suchläufen und einer forensischen Überprüfung kombinieren.

Jedes über das Internet erreichbare FMC-System innerhalb der betroffenen Versionsbereiche sollte als vorrangiges Untersuchungsziel behandelt werden. Wenn Hinweise auf eine Kompromittierung vorliegen, sollten Incident-Responder davon ausgehen, dass für die Appliance sichtbare Zugangsdaten und Datenverkehr offengelegt worden sein könnten, und die Untersuchung auf die von ihr verwalteten Netzwerke ausweiten.