Sandworm aurait exploité des failles Cisco pour diffuser le malware Cyclops Blink

L’acteur malveillant Sandworm, lié à l’État russe, aurait combiné des vulnérabilités affectant des appareils Cisco afin de déployer une version mise à jour de Cyclops Blink, un malware de botnet modulaire précédemment perturbé par le FBI en 2022.

Cette activité met en évidence le risque persistant posé par les infrastructures réseau non corrigées. Les équipements en périphérie, tels que les routeurs, les pare-feu et les appliances de gestion, constituent des cibles attrayantes car ils peuvent offrir un accès persistant à l’environnement d’une organisation tout en échappant à la couverture traditionnelle de surveillance des terminaux.

Le retour de Cyclops Blink

Cyclops Blink est associé à Sandworm, un groupe largement lié par les gouvernements et les chercheurs en sécurité au service de renseignement militaire russe. Le malware est conçu pour fonctionner comme un composant de botnet et peut être adapté au moyen de modules, permettant aux opérateurs d’ajouter des fonctionnalités ou d’envoyer des commandes aux systèmes compromis.

En 2022, les autorités américaines ont annoncé une opération visant à perturber l’infrastructure de commande et de contrôle du botnet et à supprimer le malware des appareils affectés. Cette action a réduit la menace immédiate, sans pour autant éliminer la capacité du groupe à faire évoluer ses outils ou à rechercher de nouveaux systèmes à compromettre.

Considérations défensives

Les organisations utilisant des produits Cisco affectés devraient consulter les avis du fournisseur, appliquer les mises à jour de sécurité disponibles et déterminer si des appareils exposés ont été ciblés. Les équipes de sécurité devraient également vérifier que les interfaces d’administration ne sont pas inutilement accessibles depuis Internet et que la gestion à distance est protégée par une authentification robuste et des contrôles d’accès réseau.

• Maintenir un inventaire précis des appliances réseau exposées à Internet.
• Donner la priorité à la correction des vulnérabilités connues comme étant exploitées.
• Examiner les journaux des appareils et les modifications de configuration afin de détecter toute activité inhabituelle.
• Restreindre l’accès de gestion et segmenter les infrastructures réseau critiques.
• Préparer des procédures de reconstruction ou de remplacement des appliances potentiellement compromises.

Les groupes de menace sophistiqués pouvant modifier les malwares et les méthodes de diffusion au fil du temps, l’application de correctifs seule peut ne pas suffire lorsqu’une compromission est suspectée. Les équipes de réponse aux incidents devraient préserver les journaux pertinents, enquêter sur les signes d’accès non autorisé et suivre les recommandations de Cisco et des autorités gouvernementales concernant les produits affectés.