สรุปสั้น

บริษัท Sophos และบริษัท Cisco รายงานว่าผู้โจมตีซึ่งน่าจะเป็นกลุ่ม Sandworm ที่เชื่อมโยงกับรัสเซีย กำลังนำช่องโหว่สองรายการใน Cisco Secure Firewall Management Center (FMC) มาต่อกัน เพื่อฝังมัลแวร์ที่สามารถเก็บรหัสผ่าน สแกนเครือข่ายภายใน และดักจับทราฟฟิกสด ๆ บนอุปกรณ์ที่ถูกเจาะ ทั้งสองบริษัทระบุว่ามัลแวร์ดังกล่าวคือ Cyclops Blink เวอร์ชันใหม่ ซึ่งเป็นบอตเน็ตและแบ็กดอร์แบบโมดูลาร์ที่หน่วยงานรัฐบาลสหรัฐและอังกฤษเคยเชื่อมโยงกับ Sandworm กลุ่มที่มีสายสัมพันธ์กับหน่วยข่าวกรองหลัก (GRU) ของรัสเซีย

บริษัท Cisco ปล่อยฮอตฟิกซ์แก้ทั้งสองช่องโหว่ไปเมื่อสัปดาห์ที่ผ่านมา และ “แนะนำอย่างหนักแน่น” ให้องค์กรที่ใช้เทคโนโลยีนี้รีบติดตั้งทันที โดยอ้างว่ามีหลักฐานการใช้ช่องโหว่โจมตีจริงในวงกว้าง พร้อมระบุว่าจะออกรุ่นเสริมความแข็งแกร่งที่รวมการแก้ไขช่องโหว่ทั้งสองและช่องโหว่อื่นที่พบภายในตามมาในสัปดาห์เดียวกัน

รายละเอียดข่าว

เว็บไซต์ Dark Reading รายงานว่า บริษัท Cisco อธิบายกิจกรรมของ Cyclops Blink ว่าเป็นหนึ่งในสามแคมเปญที่แยกจากกันแต่เกี่ยวข้องกับช่องโหว่สองรายการในซอฟต์แวร์ Secure FMC ช่องโหว่แรกคือ CVE-2026-20079 ช่องโหว่ข้ามการยืนยันตัวตน (authentication bypass) ระดับความรุนแรงสูงสุด ที่เปิดทางให้ผู้โจมตีระยะไกลซึ่งไม่ผ่านการยืนยันตัวตนรันโค้ดตามอำเภอใจบนอุปกรณ์และได้สิทธิ์ root บนระบบปฏิบัติการเบื้องล่าง ส่วนช่องโหว่ที่สองคือ CVE-2026-20316 ระดับความรุนแรงต่ำกว่าด้วยคะแนน CVSS 5.3 ที่ยอมให้ผู้โจมตีระยะไกลล็อกอินด้วยสิทธิ์ต่ำ แล้วอาศัยช่องโหว่ FMC อื่นที่มีก่อนหน้ายกระดับสิทธิ์ต่อ

ผู้โจมตีที่อาจเชื่อมโยงกับ Sandworm นำช่องโหว่ทั้งสองมาต่อกัน โดยเริ่มจากดาวน์โหลดเครื่องมือ reverse shell และพร็อกซีที่สร้างบน Netcat ลงบนระบบ FMC ที่มีช่องโหว่ แล้วใช้เครื่องมือนั้นติดตั้ง Cyclops Blink ตัวใหม่ ทั้งนี้ Cyclops Blink เป็นมัลแวร์ที่ปรากฏครั้งแรกในปี 2565 เดิมเล็งไฟร์วอลล์ WatchGuard และต่อมาคืออุปกรณ์ ASUS มีฟังก์ชันหลักคือส่งข้อมูลเครื่องที่ติดเชื้อกลับไปยังเซิร์ฟเวอร์สั่งการ (C2) ดาวน์โหลดและรันไฟล์อันตราย และเพิ่มโมดูลใหม่เพื่อขยายความสามารถ มัลแวร์นี้คงอยู่ได้แม้รีบูตและอัปเดตเฟิร์มแวร์ที่ถูกต้อง จนกระทั่ง FBI นำปฏิบัติการที่ศาลอนุมัติเข้าถึงอุปกรณ์ของเหยื่อ คัดลอกมัลแวร์ออกมา แล้วลบทิ้งในปี 2565

วิธีการโจมตี

ตามข้อมูลของบริษัท Sophos เวอร์ชันล่าสุดยังคงคุณสมบัติเดิมหลายอย่างไว้พร้อมเพิ่มของใหม่หลายรายการ การเปลี่ยนแปลงที่สำคัญที่สุดคือมัลแวร์ตอนนี้รันบนระบบ Linux แบบ x86-64 ขนาด 64 บิต แทนสถาปัตยกรรม PowerPC 32 บิตแบบเดิม และใช้เทคนิคการคงอยู่ (persistence) แบบ SysV ทั่วไปของ Linux แทนการดัดแปลงเฟิร์มแวร์เฉพาะของผู้ผลิต ทำให้ไม่ผูกติดกับเฟิร์มแวร์ของ WatchGuard อีกต่อไป

Cyclops Blink ตัวใหม่ยังเพิ่มความสามารถสแกนเครือข่ายเชิงรุกและดักจับแพ็กเก็ต พร้อมขยายฟังก์ชันเก็บข้อมูลให้ครอบคลุมทั้งแฮชรหัสผ่าน บรรทัดคำสั่งของโพรเซส ข้อมูล CPU และข้อมูลการตั้งค่า การเปลี่ยนแปลงเหล่านี้อาจทำให้ Cyclops Blink ทำงานเข้ากันได้กับอุปกรณ์เครือข่ายบน Linux ในวงกว้างขึ้น และมอบแพลตฟอร์มที่ทรงพลังกว่าเดิมสำหรับการลาดตระเวนและเก็บข่าวกรอง โดยนักวิจัย Sophos ระบุว่าการค้นพบมัลแวร์บนอุปกรณ์ Cisco FMC ชี้ให้เห็นความเสี่ยงจากโครงสร้างพื้นฐานบริหารจัดการเครือข่ายที่ถูกเจาะ ซึ่งเปิดมุมมองที่มีสิทธิ์สูงเข้าสู่สภาพแวดล้อมทั้งหมด ให้ผู้โจมตีสังเกตทราฟฟิก สำรวจเครือข่าย และเปิดการโจมตีเพิ่มเติมได้

นอกจากแคมเปญ Cyclops Blink ยังมีอีกสองกลุ่มที่ใช้ CVE-2026-20079 และ CVE-2026-20316 โจมตีอยู่ กลุ่มแรกที่ Cisco Talos ติดตามในชื่อ UAT 12197 ใช้ CVE-2026-20079 ฝังเว็บเชลล์และเครื่องมือรันคำสั่งบน Java เพื่อขโมยข้อมูลรับรอง ส่วนอีกกลุ่มคือ UAT 11988 ใช้ CVE-2026-20316 กระจายแรนซัมแวร์ Qilin

ผลกระทบ

บริษัท Sophos ระบุด้วยความมั่นใจสูงว่าแคมเปญ Cyclops Blink ใหม่นี้มาจากผู้โจมตีที่มีศูนย์กลางอยู่ในรัสเซีย และมีความมั่นใจระดับปานกลางว่าเชื่อมโยงกับ Sandworm ซึ่งบริษัทติดตามในชื่อ Iron Viking โดยความมั่นใจที่ต่ำลงในการระบุตัวกลุ่มสะท้อนถึงการขาดหลักฐานชี้ชัดที่เชื่อม Iron Viking เข้ากับการติดตั้งในปี 2569 โดยตรง Sandworm เป็นกลุ่มแฮ็กเกอร์ที่รัฐรัสเซียหนุนหลัง ขึ้นชื่อทั้งด้านจารกรรมและปฏิบัติการไซเบอร์แบบทำลายล้าง ถูกเชื่อมโยงกับการโจมตีครั้งใหญ่ในรอบทศวรรษที่ผ่านมา รวมถึงการโจมตีที่ทำให้ระบบไฟฟ้าของยูเครนล่ม และการระบาดของ NotPetya

การที่มัลแวร์ย้ายมาฝังบนอุปกรณ์บริหารจัดการไฟร์วอลล์เช่น Cisco FMC ถือเป็นจุดที่อันตรายเป็นพิเศษ เพราะอุปกรณ์เครือข่ายและอุปกรณ์ขอบ (edge device) ที่ถูกเจาะจะให้จุดสังเกตการณ์ที่มีสิทธิ์สูงเข้าสู่สภาพแวดล้อมภาพรวม องค์กรที่ใช้ Cisco Secure FMC จึงควรถือว่าอุปกรณ์ที่ยังไม่แพตช์มีความเสี่ยงถูกยึดและใช้เป็นฐานลาดตระเวนภายในทันที

คำแนะนำ

องค์กรที่ใช้ Cisco Secure Firewall Management Center ควรติดตั้งฮอตฟิกซ์สำหรับ CVE-2026-20079 และ CVE-2026-20316 ที่ Cisco ปล่อยออกมาโดยเร็วที่สุด ตามคำแนะนำของบริษัทที่ว่า “เมื่อมีการใช้ช่องโหว่โจมตีจริงในวงกว้าง เราขอแนะนำอย่างหนักแน่นให้ลูกค้าติดตั้งฮอตฟิกซ์ที่อ้างถึงโดยเร็วที่สุด ระหว่างรอรุ่นเสริมความแข็งแกร่ง” นอกจากการแพตช์ ผู้ดูแลระบบควรตรวจหาร่องรอยการเจาะ เช่น reverse shell บน Netcat เว็บเชลล์ หรือโพรเซสผิดปกติที่สแกนเครือข่ายและดักจับแพ็กเก็ต และเมื่อพบว่าอุปกรณ์ถูกเจาะ ควรถือว่าข้อมูลรับรองที่ผ่านอุปกรณ์นั้นถูกเปิดเผยแล้วและต้องหมุนเปลี่ยนทันที รวมถึงเฝ้าระวังการติดตั้งแรนซัมแวร์ Qilin ที่มาพร้อมการใช้ช่องโหว่ชุดเดียวกัน

แหล่งอ้างอิง