Хакерская группа Sandworm вернулась к использованию ботнета Cyclops Blink

Группировка Sandworm возобновила использование вредоносного ПО Cyclops Blink, атакуя сетевое оборудование Cisco. По данным портала Dark Reading, злоумышленники объединяют несколько уязвимостей для обхода защиты и закрепления в скомпрометированных системах.

Известная хакерская группа Sandworm, которую эксперты связывают с деятельностью российских спецслужб, вновь привлекла внимание специалистов по кибербезопасности. Как сообщает издание Dark Reading, злоумышленники адаптировали методы атак для развертывания обновленной версии ботнета Cyclops Blink. В текущей кампании хакеры используют цепочки уязвимостей в сетевых устройствах Cisco, что позволяет им преодолевать барьеры безопасности и сохранять присутствие в целевых инфраструктурах. Подобная тактика указывает на высокую степень подготовки атакующих и их стремление к долгосрочному контролю над сетевыми узлами.

Механика атак на сетевое оборудование

Основная стратегия Sandworm заключается в эксплуатации уязвимостей в оборудовании Cisco для обеспечения персистентности, то есть возможности оставаться в системе после перезагрузки устройств. Злоумышленники комбинируют несколько эксплойтов, чтобы получить несанкционированный доступ к управлению сетевой инфраструктурой. По информации Dark Reading, такая методика позволяет хакерам эффективно обходить стандартные механизмы защиты, которые зачастую оказываются не готовы к многоэтапным атакам, направленным на сетевой уровень, а не на конечные рабочие станции.

Предыстория и контекст угрозы

Ботнет Cyclops Blink впервые стал широко известен в 2022 году, когда он использовался для замены более старого вредоносного инструментария, такого как VPNFilter. В тот период правоохранительные органы США, включая ФБР, провели масштабную операцию по нейтрализации инфраструктуры ботнета, что привело к временному снижению его активности. Однако возвращение этого инструмента в арсенал Sandworm свидетельствует о том, что группировка успешно модифицировала код вредоносного ПО, чтобы обойти принятые ранее меры противодействия.

Почему сетевое оборудование становится главной целью?

Сетевые устройства, такие как маршрутизаторы и межсетевые экраны, являются критическими точками входа в любую корпоративную сеть. В отличие от обычных компьютеров, они часто работают без регулярного обновления прошивок и находятся вне поля зрения стандартных инструментов мониторинга безопасности. Взлом такого устройства дает злоумышленникам возможность контролировать весь проходящий трафик, перехватывать учетные данные и скрытно перемещаться внутри защищенного периметра организации.

Технический анализ и развитие вредоносного ПО

Обновленный Cyclops Blink демонстрирует признаки эволюции, направленной на усложнение обнаружения. Использование специфических методов обфускации и модульной архитектуры позволяет Sandworm адаптировать вредоносное ПО под конкретные цели каждой атаки. Согласно данным Dark Reading, основная опасность заключается в том, что присутствие ботнета трудно выявить традиционными средствами, так как он глубоко интегрируется в среду сетевого оборудования, сохраняя работоспособность даже при попытках стандартного сброса настроек.

Кого затронет и как защититься

В зоне риска находятся организации, использующие устаревшие модели сетевого оборудования, для которых поддержка вендора ограничена или полностью прекращена. Специалисты рекомендуют администраторам сетей провести немедленный аудит парка устройств, проверить актуальность прошивок и ограничить доступ к интерфейсам управления доверенными IP-адресами. Игнорирование этих базовых мер защиты может привести к полной компрометации сетевого сегмента, что открывает путь для дальнейшего развития атак внутри корпоративной инфраструктуры.

Что будет дальше

Эксперты ожидают, что Sandworm продолжит совершенствовать свои инструменты, расширяя список поддерживаемых уязвимостей и атакуемых брендов оборудования. Учитывая высокий уровень ресурсов группировки, новые отчеты об индикаторах компрометации будут появляться по мере анализа каждой новой волны атак. Организациям следует готовиться к долгосрочному противостоянию, уделяя повышенное внимание защите периметра.

Итог

Возвращение Cyclops Blink подтверждает, что даже нейтрализованные угрозы способны эволюционировать и возвращаться в более опасном виде. Надежная защита сетевой инфраструктуры остается ключевым приоритетом, требующим от бизнеса постоянного обновления систем и бдительного контроля за состоянием оборудования.