Sandworm khai thác lỗ hổng Cisco để triển khai Cyclops Blink
"The article reports that the Russian threat group Sandworm is chaining Cisco vulnerabilities to deploy an upgraded version of the Cyclops Blink botnet malware. The malware had previously been disrupted by the FBI in 2022, and the new activity indicates continued exploitation of Cisco flaws to enable botnet deployment and persistence."
Nguy cơ chiếm quyền thiết bị mạng và tham gia botnet; các hệ thống Cisco chưa vá có thể bị khai thác để duy trì hiện diện lâu dài.
Có thể gây gián đoạn vận hành mạng, tăng rủi ro lây lan nội bộ và phát sinh chi phí xử lý sự cố, khắc phục, kiểm tra lại hạ tầng.
Nhóm đe dọa có liên hệ với Nga Sandworm được cho là đang kết hợp các lỗ hổng Cisco để triển khai phiên bản nâng cấp của mã độc botnet Cyclops Blink. Hoạt động này cho thấy tác nhân tấn công tiếp tục tận dụng các điểm yếu trên thiết bị mạng để cài đặt, duy trì hiện diện và mở rộng khả năng kiểm soát từ xa.
Theo thông tin được công bố, Cyclops Blink từng bị FBI làm gián đoạn vào năm 2022, nhưng biến thể mới cho thấy chiến dịch vẫn tiếp diễn và có thể nhắm vào các hệ thống chưa được vá hoặc cấu hình chưa an toàn. Với các thiết bị Cisco đang phơi lộ ra Internet, rủi ro chính là bị chiếm quyền điều khiển, trở thành một phần của botnet hoặc bị dùng làm bàn đạp cho các hoạt động tiếp theo.
Khuyến nghị kỹ thuật: rà soát ngay tình trạng vá lỗi Cisco, kiểm tra thiết bị biên và thiết bị mạng có dấu hiệu bất thường, hạn chế bề mặt tấn công từ Internet, đồng thời tăng cường giám sát lưu lượng và nhật ký để phát hiện persistence hoặc kết nối điều khiển đáng ngờ.