Cyclops Blink вернулся в новом варианте: вредоносная программа атакует системы управления межсетевыми экранами Cisco

Устройство вредоносного набора строится вокруг родительского процесса и пяти дочерних модулей. Родитель создаёт отдельный канал связи для каждого модуля, принимает команды, собирает результаты и отправляет их на командно-контрольный сервер (C2-сервер - внешний узел управления вредоносной программой). Разделение на процессы повышает устойчивость: отказ одного модуля не останавливает остальные. Для маскировки родительский процесс выдаёт себя за служебный поток ядра Linux. Такие потоки выполняют фоновые задачи и встречаются на любой системе, поэтому беглая проверка списка процессов ничего не показывает.

По данным Cisco Counter Threat Unit, набор возможностей за четыре года заметно расширился. Один из модулей собирает подробные сведения о заражённой системе: версию операционной системы, список пользователей и групп, запущенные процессы, сетевые интерфейсы и параметры разрешения имён. При достаточных правах он читает системный файл с хешами паролей (необратимыми криптографическими отпечатками). Затем злоумышленник может подбирать пароли уже вне устройства. Другой модуль отвечает за передачу файлов. Он выгружает данные на сервер злоумышленников, скачивает дополнительные программы и запускает их. Полученный код умеет исполняться прямо в памяти, не сохраняясь на диск. Кроме того, модуль способен заменить саму вредоносную программу на новую версию во время работы.

Отдельный модуль обеспечивает закрепление в системе. Он копирует себя в каталог системных библиотек и прописывает автозапуск через классическую систему инициализации Linux. Ссылки на службу добавляются для нескольких уровней загрузки, поэтому программа стартует при каждом включении устройства. Исходный файл после копирования удаляется: запущенный процесс продолжает работать, а следов на прежнем месте не остаётся. Для записи в системные каталоги нужны права root (полный административный доступ). Случайная установка невозможна, значит у злоумышленника уже были максимальные привилегии. Имя службы имитирует штатные настройки часовых поясов, поэтому проверка наугад ничего не даёт.

Сетевой модуль сканирует внутренние сети, доступные с заражённого устройства. Он перебирает адреса и типовые порты: удалённое администрирование, передачу файлов, почту, веб-службы, сетевое управление, маршрутизацию и виртуализацию. Проверка идёт в отдельных процессах и не мешает другим задачам. Второй инструмент перехватывает трафик, видимый устройству, и сохраняет только те пакеты, которые содержат заданные оператором слова. Такой фильтр снижает объём передаваемых данных и позволяет целенаправленно искать учётные данные, ключи сессий, токены доступа и административные команды. При этом программа не собирает поток целиком, поэтому искомая строка может остаться незамеченной, если её разбили на части.

Связь с управляющим сервером идёт по исходящим шифрованным соединениям. В проверенных образцах программа выходила на связь раз в час. Однако интервал и адреса можно менять на ходу: в память заложен список из нескольких десятков запасных узлов. Проверка подлинности сертификата при этом отключена, поэтому подмена сервера не вызывает ошибок. Вместо обычного веб-протокола применяется собственный протокол обмена. Для обращения к узлам по именам используется отдельный механизм разрешения имён, который обходит локальные настройки. Собранные данные дополнительно шифруются перед отправкой, а в код встроены ключи и самоподписанный сертификат. Такие сертификаты их создатели могут датировать произвольно, поэтому по ним нельзя судить о сроках разработки.

Версия 2022 года работала на процессорах PowerPC и изменяла прошивку устройств WatchGuard. Это позволяло вредоносной программе переживать обновления. Новый вариант собран под архитектуру x86-64 и использует универсальное закрепление через систему инициализации. В результате привязка к одному производителю исчезла: круг потенциально совместимых устройств стал заметно шире. Набор модулей тоже изменился. Появились активное сканирование сети и выборочный перехват трафика, которых в прежних образцах не было. Из-за этого заражённое устройство становится одновременно источником разведданных и средством для продолжения атаки.

Наибольший риск затрагивает сетевые устройства на базе Linux с функциями централизованного управления, маршрутизации и контроля трафика. К ним относятся контроллеры SD-WAN (программно управляемые сети), концентраторы VPN и платформы оркестрации сети. Все они объединяют общие свойства: административный доступ к множеству устройств, видимость нескольких сегментов сети и открытые службы управления. Именно поэтому компрометация такого узла открывает внутренние сети, которые снаружи недоступны. Пострадавшая система также служит удобной площадкой для бокового перемещения (попыток закрепиться на соседних узлах).

Происхождение кампании оценивают как российское - с высокой уверенностью. Связь с группировкой IRON VIKING (она же Sandworm и Seashell Blizzard, которую связывают с российскими спецслужбами) указана с умеренной уверенностью. Основание - почти полное совпадение в реализации кода с прежним Cyclops Blink. Прямых доказательств причастности конкретной группы к развёртываниям 2026 года пока нет.

Защита начинается с управления исправлениями (регулярной установки обновлений). Помимо этого, стоит проверять автозапуск служб, изменения в системных каталогах и необычные исходящие соединения с устройств управления. Административный доступ к ним лучше ограничить отдельным сегментом сети и защитить двухфакторной аутентификацией. Охота на угрозы не должна ограничиваться одной платформой: сходные механизмы закрепления могут проявиться на других устройствах с совместимой средой Linux, поэтому проверять стоит весь парк управляющего оборудования.