Sandworm nutzt Berichten zufolge Cisco-Schwachstellen zur Verbreitung der Cyclops-Blink-Malware

Der mit dem russischen Staat in Verbindung stehende Bedrohungsakteur Sandworm hat Berichten zufolge Schwachstellen in Cisco-Geräten kombiniert, um eine aktualisierte Version von Cyclops Blink einzusetzen, einer modularen Botnet-Malware, deren Betrieb 2022 vom FBI gestört wurde.

Die Aktivitäten verdeutlichen das anhaltende Risiko durch ungepatchte Netzwerkinfrastruktur. Edge-Geräte wie Router, Firewalls und Management-Appliances sind attraktive Ziele, weil sie einen dauerhaften Zugriff auf die Umgebung einer Organisation ermöglichen können und zugleich außerhalb der Abdeckung herkömmlicher Endpoint-Überwachung betrieben werden.

Cyclops Blink ist zurück

Cyclops Blink wird Sandworm zugeschrieben, einer Gruppe, die von Regierungen und Sicherheitsforschern weithin mit dem russischen Militärgeheimdienst in Verbindung gebracht wird. Die Malware ist als Botnet-Komponente konzipiert und kann über Module angepasst werden, sodass Betreiber Funktionen hinzufügen oder Befehle an kompromittierte Systeme erteilen können.

2022 gaben US-Behörden eine Operation bekannt, um die Command-and-Control-Infrastruktur des Botnets zu stören und die Malware von betroffenen Geräten zu entfernen. Diese Maßnahme verringerte die unmittelbare Bedrohung, beseitigte jedoch nicht die Fähigkeit der Gruppe, ihre Werkzeuge weiterzuentwickeln oder neue Systeme für eine Kompromittierung zu suchen.

Überlegungen zur Abwehr

Organisationen, die betroffene Cisco-Produkte einsetzen, sollten Herstellerhinweise prüfen, verfügbare Sicherheitsupdates einspielen und feststellen, ob öffentlich erreichbare Geräte angegriffen wurden. Sicherheitsteams sollten außerdem überprüfen, dass administrative Schnittstellen nicht unnötig aus dem Internet erreichbar sind und dass die Fernverwaltung durch starke Authentifizierung und Netzwerkzugriffskontrollen geschützt ist.

• Ein präzises Inventar aller internetexponierten Netzwerk-Appliances führen.
• Die Behebung bekannter, aktiv ausgenutzter Schwachstellen priorisieren.
• Geräteprotokolle und Konfigurationsänderungen auf ungewöhnliche Aktivitäten überprüfen.
• Den Verwaltungszugriff beschränken und kritische Netzwerkinfrastruktur segmentieren.
• Verfahren zur Wiederherstellung oder zum Austausch möglicherweise kompromittierter Appliances vorbereiten.

Da hochentwickelte Bedrohungsgruppen Malware und Verbreitungsmethoden im Laufe der Zeit verändern können, reicht Patchen allein bei Verdacht auf eine Kompromittierung möglicherweise nicht aus. Incident-Response-Teams sollten relevante Protokolle sichern, Anzeichen für unbefugten Zugriff untersuchen und den Empfehlungen von Cisco sowie Regierungsbehörden für betroffene Produkte folgen.