Sandworm colpisce il cuore dei firewall Cisco con Cyclops Blink a 64 bit

Il 9 settembre 2026 Cisco Talos ha reso pubblica una campagna di intrusioni attive contro Cisco Secure Firewall Management Center (FMC), il pannello di gestione centralizzato per le policy di firewall e VPN delle reti enterprise. Tre cluster di attacchi distinti stanno sfruttando due vulnerabilità del software FMC: il più pericoloso, attribuito con alta confidenza all'attore legato al GRU russo Sandworm (Unità 74455), distribuisce una nuova variante a 64 bit del malware Cyclops Blink, dotata di capacità di scansione di rete e cattura selettiva dei pacchetti. La novità non è nel singolo exploit, ma nella conversione dello strumento di governo della sicurezza di rete in una piattaforma di raccolta intelligence.

Le due CVE che aprono il management plane

La catena d'attacco documentata da Cisco Talos sfrutta CVE-2026-20079 e CVE-2026-20316, entrambe nel software Cisco Secure FMC. La prima, con punteggio CVSS 10.0 — il massimo della scala — è un bypass dell'autenticazione che consente a un attaccante remoto non autenticato di eseguire script con privilegi di root. La seconda, CVSS 5.3, espone credenziali statiche che permettono l'accesso con privilegi limitati, concatenabile con altre vulnerabilità per l'escalation.

I due difetti non sono equivalenti nella severità, ma sono complementari nella pratica offensiva. CVE-2026-20079 offre l'ingresso immediato nel piano di gestione; CVE-2026-20316 fornisce un percorso alternativo o di stabilizzazione dell'accesso. Il National Vulnerability Database conferma le versioni di prodotto interessate attraverso i record CPE associati. CISA ha inserito CVE-2026-20079 nel catalogo Known Exploited Vulnerabilities con scadenza federale per la remediazione fissata al 12 settembre 2026.

UAT-11823: tecniche, persistenza e attribuzione

Nel cluster UAT-11823, i ricercatori di Talos hanno osservato l'uso di un pacchetto Makeself camuffato da file license.tmp. L'attore aggiorna il file su disco con una copia malevola che, eseguita tramite l'utilità package_info.pl con privilegi root, stabilisce una reverse shell basata su Netcat. Da questo punto si procede al deploy di Cyclops Blink.

L'implante si presenta come timezone_check, un nome che imita i thread worker legittimi del kernel Linux [kworker/0:1]. I file di persistenza sono collocati in /lib/tz/timezone_check e /etc/init.d/timezone_check, con collegamenti SysV per i runlevel 2-5. Questo meccanismo di persistenza generico sostituisce l'approccio precedente, vincolato al firmware proprietario WatchGuard.

L'attribuzione a Sandworm ha due livelli di confidenza. Cisco Talos rileva che "UAT-11823 overlaps in tooling with the Sandworm APT actor", con alta confidenza nel nesso infrastrutturale. Sophos, che traccia il gruppo come Iron Viking, conferma l'alta confidenza nel nesso con attori di origine russa, ma moderata nel collegamento specifico a Sandworm: "The lower confidence in the threat group attribution reflects the absence of conclusive evidence directly linking IRON VIKING to the observed 2026 deployments".

I due moduli che trasformano il firewall in sonde interne

La variante 2026 di Cyclops Blink introduce due moduli funzionali non documentati nelle versioni precedenti. Il modulo 0x11 esegue la scansione delle reti IPv4 localmente connesse, utilizzando raw socket per l'invio di pacchetti SYN verso intervalli specificati dall'attore o verso una lista di porte embedded. Il modulo 0x12 apre un socket AF_PACKET per la cattura di frame Ethernet visibili, applicando pattern matching Aho-Corasick per filtrare il traffico di interesse.

Le comunicazioni con il server di comando e controllo utilizzano l'indirizzo IP hard-coded 89.34.96.56, su porte TCP 43856 e 49172. Il malware stabilisce sessioni TLS senza validazione convenzionale del certificato, poi scambia dati attraverso un protocollo custom non HTTP. L'implante modifica inoltre le regole iptables della catena OUTPUT per accettare il proprio traffico C2.

"Generic SysV persistence in the 2026 Cyclops Blink samples removes the dependency on WatchGuard-specific firmware, while active network scanning and selective packet capture substantially expand the implant's intelligence-collection capabilities" — Sophos researchers, via Dark Reading

Il rovesciamento architetturale: dal guardiano al insider

Il Cisco FMC è progettato come punto di consolidamento delle policy di sicurezza: da qui gli amministratori definiscono regole di firewall, VPN, controllo degli accessi e ispezione del traffico. Compromettere questo nodo non significa semplicemente violare un server, ma ottenere una visuale privilegiata sull'intera topologia di rete. L'aggiunta di moduli di scansione e cattura trasforma il management plane da obiettivo strategico in piattaforma operativa di raccolta: il firewall diventa sonda interna, con visibilità su segmenti di rete normalmente separati da controlli perimetrali.

L'adozione dell'architettura x86-64 a 64 bit indica una deliberata astrazione dal target specifico. L'originale Cyclops Blink, scoperto nel 2022, era vincolato al firmware dei dispositivi WatchGuard. La rimozione di questa dipendenza suggerisce un'intenzionalità nella portabilità: l'implante può adattarsi a qualunque appliance Linux-based nel panorama dei dispositivi di rete, ampliando la superficie di distribuzione futura.

Cosa fare adesso

• Applicare le hotfix rilasciate da Cisco per le versioni interessate di Secure FMC, in attesa del rilascio completo di hardening previsto per la settimana del 14 settembre 2026.
• Eseguire triage forense sui sistemi FMC alla ricerca dei file timezone_check in /lib/tz/ e /etc/init.d/, delle regole iptables anomale sulle porte 43856 e 49172, e delle connessioni TLS verso 89.34.96.56.
• Isolare il piano di gestione FMC dalla rete di produzione e da accessi Internet non necessari, trattandolo come control plane critico con controlli di accesso dedicati.
• Verificare la conformità alla Binding Operational Directive 26-04 di CISA per le organizzazioni federali statunitensi, con scadenza 12 settembre 2026.

I cluster paralleli e il rischio di sovrapposizione

Oltre a UAT-11823, Talos ha documentato due cluster attivi sui medesimi difetti FMC. UAT-12197 utilizza web shell per il furto di credenziali; UAT-11988, affiliato al ransomware Qilin, sfrutta le vulnerabilità per l'accesso iniziale alle reti target. La condivisione della stessa superficie d'attacco da parte di attori con obiettivi distinti — spionaggio strategico versus monetizzazione criminale — introduce un rischio di sovrapposizione operativa: la stessa compromissione può essere rivenduta, riutilizzata o contestata tra gruppi diversi, complicando la risposta agli incidenti.

Le stime di esposizione indicano tra circa 300 e 700 istanze di Cisco Secure FMC raggiungibili da Internet secondo i dati di scansione Censys e FOFA riportati da Tech Insider. La forbice riflette incertezze di rilevamento: alcune installazioni possono essere protette da VPN o posizionate dietro bastion host, riducendo la visibilità dei sonde pubbliche.

Il dossier non specifica se i moduli di scansione e cattura siano stati attivamente utilizzati nelle intrusioni osservate o rappresentino capacità latenti. Non è noto inoltre se Sandworm abbia scoperto indipendentemente CVE-2026-20079 — resa pubblica nel marzo 2026 — o ne abbia acquisito dettagli attraverso altri canali. Il primo sfruttamento documentato risale all'agosto 2026, con una finestra di esposizione di mesi.

L'evoluzione di Cyclops Blink segnala una trasformazione più ampia nella postura degli attori di stato verso l'infrastruttura di sicurezza di rete. Non più implant su singoli dispositivi perimetrali, ma piattaforme di gestione centralizzata come punti di ascolto end-to-end. Il management plane, progettato per vedere tutto, diventa il punto cieco che lo rende possibile.

Fonti

• https://www.darkreading.com/cyberattacks-data-breaches/sandworm-chains-cisco-vulnerabilities-cyclops-blink
• https://thehackernews.com/2026/09/russian-state-sponsored-hackers-use.html
• https://gbhackers.com/cyclops-blink-variant/
• https://blog.talosintelligence.com/fmc-ongoing-exploitation/
• https://forkast.news/three-threat-actor-clusters-including-sandworm-are-actively-exploiting-cisco-fmcs-cvss-10-0-authentication-bypass/
• https://www.bankinfosecurity.com/cisco-firewall-bugs-let-in-sandworm-qilin-a-32793
• https://tech-insider.org/cisco-fmc-cve-2026-20079-sandworm-qilin-2026/
• https://nvd.nist.gov/vuln/detail/CVE-2026-20079
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog