Secondo quanto riportato, Sandworm sfrutta falle di Cisco per distribuire il malware Cyclops Blink

Secondo quanto riportato, l'attore di minacce Sandworm, legato allo Stato russo, ha combinato vulnerabilità che interessano dispositivi Cisco per distribuire una versione aggiornata di Cyclops Blink, un malware botnet modulare precedentemente neutralizzato dall'FBI nel 2022.

L'attività evidenzia il rischio persistente rappresentato dalle infrastrutture di rete prive di patch. I dispositivi perimetrali, quali router, firewall e appliance di gestione, sono bersagli allettanti perché possono fornire un accesso persistente all'ambiente di un'organizzazione pur operando al di fuori della copertura del monitoraggio tradizionale degli endpoint.

Cyclops Blink torna in azione

Cyclops Blink è associato a Sandworm, un gruppo ampiamente collegato da governi e ricercatori di sicurezza al servizio di intelligence militare russo. Il malware è progettato per operare come componente di una botnet e può essere adattato tramite moduli, consentendo agli operatori di aggiungere funzionalità o impartire comandi ai sistemi compromessi.

Nel 2022, le autorità statunitensi hanno annunciato un'operazione per interrompere l'infrastruttura di comando e controllo della botnet e rimuovere il malware dai dispositivi interessati. Tale azione ha ridotto la minaccia immediata, ma non ha eliminato la capacità del gruppo di aggiornare i propri strumenti o cercare nuovi sistemi da compromettere.

Considerazioni difensive

Le organizzazioni che utilizzano prodotti Cisco interessati dovrebbero esaminare gli avvisi del fornitore, applicare gli aggiornamenti di sicurezza disponibili e determinare se i dispositivi esposti siano stati presi di mira. I team di sicurezza dovrebbero inoltre verificare che le interfacce amministrative non siano raggiungibili da Internet senza necessità e che la gestione remota sia protetta da un'autenticazione robusta e da controlli di accesso alla rete.

• Mantenere un inventario accurato delle appliance di rete esposte a Internet.
• Assegnare priorità alla correzione delle vulnerabilità note come sfruttate attivamente.
• Esaminare i log dei dispositivi e le modifiche alla configurazione per individuare attività insolite.
• Limitare l'accesso di gestione e segmentare l'infrastruttura di rete critica.
• Preparare procedure per ricostruire o sostituire appliance potenzialmente compromesse.

Poiché i gruppi di minacce sofisticati possono modificare nel tempo il malware e i metodi di distribuzione, la sola applicazione di patch potrebbe non essere sufficiente qualora si sospetti una compromissione. I team di risposta agli incidenti dovrebbero conservare i log pertinenti, indagare sui segnali di accesso non autorizzato e seguire le indicazioni di Cisco e delle autorità governative per i prodotti interessati.