Operatori legati a Sandworm concatenano vulnerabilità di Cisco FMC per distribuire una nuova versione di Cyclops Blink

Un probabile attore di minaccia legato allo Stato russo sta sfruttando due vulnerabilità di Cisco Secure Firewall Management Center per installare una versione ampliata della backdoor Cyclops Blink.

La catena d’intrusione combina un bypass critico dell’autenticazione, CVE-2026-20079, con una vulnerabilità legata a credenziali statiche, CVE-2026-20316. Gli attaccanti accedono ai sistemi FMC vulnerabili, distribuiscono una shell inversa e un proxy basati su Netcat, quindi installano la nuova variante del malware.

Sophos ha valutato con elevata fiducia che gli operatori abbiano un legame con la Russia. Ha attribuito l’attività a Sandworm, che tiene sotto monitoraggio con il nome Iron Viking, con un livello di fiducia moderato, poiché gli investigatori non hanno trovato prove conclusive che colleghino direttamente le distribuzioni osservate a quel gruppo.

La data esatta di inizio e la portata complessiva della campagna non sono note. Tuttavia, entrambe le vulnerabilità sono oggetto di sfruttamento attivo e sono state aggiunte al catalogo Known Exploited Vulnerabilities della Cybersecurity and Infrastructure Security Agency statunitense.

Due vulnerabilità di FMC forniscono il punto d’ingresso

Cisco Secure Firewall Management Center è un obiettivo prezioso per gli attaccanti perché occupa una posizione affidabile nell’infrastruttura di gestione della rete. La compromissione della piattaforma può offrire visibilità sul traffico, sulle configurazioni, sulle credenziali e sui sistemi che si trovano dietro il perimetro di rete.

Le due vulnerabilità sfruttate hanno livelli di gravità e conseguenze immediate sostanzialmente diversi:

Vulnerabilità	Versioni interessate	Impatto tecnico	CVSS
CVE-2026-20079	Cisco Secure Firewall Management Center 7.0.0	Bypass dell’autenticazione senza autenticazione preliminare, con esecuzione di script o comandi e possibile accesso root	10
CVE-2026-20316	Cisco Secure Firewall Management Center 7.0.9 e precedenti	Le credenziali statiche consentono l’accesso senza autenticazione tramite un account con privilegi ridotti e l’esposizione di dati sensibili	5.3

CVE-2026-20079 risiede nell’interfaccia Web di FMC ed è dovuta alla configurazione errata di un processo di sistema creato durante l’avvio. Un attaccante remoto può inviare richieste HTTP appositamente predisposte senza autenticarsi. Lo sfruttamento riuscito consente di eseguire script e comandi con privilegi sufficienti a ottenere l’accesso root al sistema operativo sottostante.

Il vettore CVSS, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, riflette la possibilità di sfruttamento remoto, la bassa complessità dell’attacco, l’assenza di privilegi richiesti o di interazione da parte dell’utente e l’elevato impatto su riservatezza, integrità e disponibilità. La vulnerabilità è classificata come CWE-288, bypass dell’autenticazione attraverso un percorso o canale alternativo.

CVE-2026-20316 ha un impatto diretto più circoscritto. L’interfaccia FMC assegna credenziali statiche a un account con privilegi ridotti, consentendo a un attaccante remoto di autenticarsi senza possedere credenziali utente valide. La conseguenza immediata è l’accesso alle informazioni sensibili disponibili per quell’account.

Cisco ha inoltre avvertito che gli attaccanti possono combinare questo accesso con vulnerabilità di FMC già note per aumentare i privilegi. Il relativo vettore è CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N e la vulnerabilità è classificata come CWE-259, uso di una password hardcoded.

Il punteggio più basso, pari a 5,3, non indica un rischio operativo ridotto. CVE-2026-20316 è oggetto di sfruttamento attivo ed è stata utilizzata anche in campagne ransomware.

Cyclops Blink supera gli obiettivi originari basati su appliance

Dopo aver sfruttato l’installazione FMC, gli operatori presumibilmente legati a Sandworm distribuiscono uno strumento proxy e una shell inversa basati su Netcat. Questi strumenti intermedi forniscono loro un canale interattivo e contribuiscono a preparare il sistema all’installazione di Cyclops Blink.

Cyclops Blink è una botnet modulare e una backdoor precedentemente associata a Sandworm da agenzie governative statunitensi e britanniche. Il malware è comparso per la prima volta nel 2022, compromettendo inizialmente i firewall WatchGuard e, in seguito, i dispositivi ASUS.

Le versioni precedenti potevano inviare all’infrastruttura di comando e controllo i dettagli dei dispositivi infetti, scaricare ed eseguire file e caricare moduli aggiuntivi. Erano inoltre progettate per rimanere presenti dopo i riavvii e gli aggiornamenti legittimi del firmware.

La variante appena identificata rappresenta una riprogettazione significativa. Funziona su Linux x86-64 a 64 bit invece che sulla precedente architettura PowerPC a 32 bit e non dipende più da modifiche al firmware specifiche per WatchGuard ai fini della persistenza.

Utilizza invece meccanismi di persistenza SysV generici, disponibili su una gamma più ampia di sistemi Linux. Questo cambiamento potrebbe rendere l’impianto utilizzabile contro appliance di rete basate su Linux diverse dai prodotti presi di mira nelle campagne precedenti.

La nuova versione può inoltre:

• Eseguire la scansione delle reti interne alla ricerca di altri sistemi.
• Catturare selettivamente pacchetti di rete in tempo reale.
• Raccogliere gli hash delle password.
• Registrare le righe di comando dei processi.
• Raccogliere informazioni sulla CPU e sulla configurazione del sistema.
• Mantenere il beaconing verso l’infrastruttura di comando e controllo.
• Scaricare ed eseguire payload aggiuntivi.
• Caricare moduli che ne estendono le funzionalità.

Queste funzioni trasformano un’appliance di gestione compromessa in qualcosa di più di una backdoor persistente. L’attaccante può utilizzarla come piattaforma di ricognizione, punto di raccolta del traffico, fonte di credenziali e sistema di preparazione per muoversi più in profondità nella rete.

L’attribuzione a Sandworm resta prudenziale

Sophos ha attribuito la campagna a operatori legati alla Russia con elevata fiducia, ma ha assegnato un livello di fiducia moderato al collegamento specifico con Sandworm. La distinzione è importante: gli investigatori hanno riconosciuto Cyclops Blink e comportamenti dell’infrastruttura associati a operazioni russe, ma non hanno identificato prove definitive che colleghino queste specifiche compromissioni a Iron Viking.

Sandworm è già stato associato ad attacchi di spionaggio e distruttivi, tra cui le interruzioni della rete elettrica ucraina e la diffusione di NotPetya. Il gruppo ha inoltre preso di mira infrastrutture esposte a Internet e organizzazioni di importanza strategica.

Il collegamento con il malware rafforza la valutazione, ma non dimostra che ogni distribuzione di Cyclops Blink sia controllata dallo stesso operatore. La campagna Cisco FMC segnalata dovrebbe quindi essere considerata probabilmente legata a Sandworm, senza però attribuirla al gruppo in modo definitivo.

Cisco Talos ha identificato altri due raggruppamenti di attività che sfruttano le stesse vulnerabilità con obiettivi diversi. Non esistono prove consolidate che indichino un unico operatore per tutte e tre le campagne.

UAT 12197 sfrutta CVE-2026-20079 per installare Web shell e uno strumento basato su Java per l’esecuzione di comandi, con il furto di credenziali tra i suoi obiettivi. UAT 11988 utilizza CVE-2026-20316 per distribuire il ransomware Qilin.

Le vulnerabilità stanno quindi sostenendo attività d’intrusione legate a gruppi statali, il furto di credenziali, l’accesso remoto persistente e la distribuzione di ransomware motivata da finalità economiche.

Le scadenze CISA sono già trascorse

CISA ha aggiunto CVE-2026-20316 al catalogo KEV il 29 luglio 2026, fissando al primo agosto 2026 la scadenza per la risoluzione da parte delle agenzie civili federali statunitensi. Il catalogo ne registra l’utilizzo in campagne ransomware.

CVE-2026-20079 è entrata nel catalogo KEV il 9 settembre 2026. La scadenza federale per la risoluzione era il 12 settembre 2026.

CISA impone alle agenzie di applicare le misure di mitigazione del fornitore nel rispetto della BOD 26-04, “Prioritizing Security Updates Based on Risk”, e dei relativi Forensics Triage Requirements. Le organizzazioni devono inoltre valutare l’esposizione a Internet di ogni risorsa. Per i servizi cloud interessati, le agenzie devono seguire le indicazioni applicabili della BOD 26-04 oppure interrompere l’utilizzo del prodotto quando non sono disponibili misure di mitigazione.

Queste voci fanno parte di una serie più ampia di vulnerabilità Cisco sfruttate di recente. Altre vulnerabilità Cisco aggiunte al catalogo KEV nei 90 giorni precedenti includono CVE-2026-20349 l’11 agosto 2026, CVE-2008-4128 il 13 luglio 2026 e CVE-2026-20230 il 25 giugno 2026.

L’applicazione degli hotfix deve essere affiancata da un’indagine forense

Cisco ha rilasciato hotfix per entrambe le vulnerabilità di FMC e ha invitato i clienti a installarli immediatamente. L’azienda prevede inoltre una versione più ampia e rafforzata, che includerà queste vulnerabilità e altre falle di FMC individuate internamente. La data di rilascio non è stata comunicata.

Gli amministratori dovrebbero censire tutte le distribuzioni di FMC, in particolare quelle con versione 7.0.0 e quelle che eseguono la versione 7.0.9 o precedenti. Dovrebbero quindi applicare gli hotfix di Cisco e installare la versione rafforzata non appena sarà disponibile.

La sola risoluzione della vulnerabilità non consente di stabilire che un sistema non sia stato compromesso in precedenza. I team di sicurezza dovrebbero esaminare gli host FMC e i dati di telemetria della rete circostante alla ricerca di:

• Web shell non autorizzate.
• Shell inverse Netcat o attività proxy inattese.
• Componenti Java non riconosciuti per l’esecuzione di comandi.
• Voci o servizi di avvio SysV sospetti.
• Scansioni interne originate da un’appliance FMC.
• Attività selettive di cattura dei pacchetti.
• Accessi agli hash delle password o a dati di configurazione sensibili.
• Connessioni in uscita anomale e beaconing verso l’infrastruttura di comando e controllo.
• Righe di comando dei processi inattese o eseguibili scaricati.
• Prove di furto di credenziali o di successivi movimenti laterali.

Nei report disponibili non sono identificati pubblicamente hash di file, domini o indirizzi IP specifici. I difensori devono quindi combinare gli indicatori forniti dal vendor con la ricerca basata sui comportamenti e l’analisi forense.

Qualsiasi sistema FMC accessibile da Internet e rientrante negli intervalli di versioni interessati dovrebbe essere considerato una priorità d’indagine. In presenza di prove di compromissione, i responsabili della risposta agli incidenti dovrebbero presumere che le credenziali e il traffico visibili all’appliance possano essere stati esposti ed estendere l’indagine alle reti che essa gestisce.