Cyclops Blinkの汎用64-bit Linux向け亜種｜ブログ(ほぼこもセキュリティニュース)

Cisco Secure Firewall Management Center (FMC) は、Ciscoが提供する次世代ファイアウォール（NGFW）や侵入防止システム（IPS）を一元的に管理・運用するための統合管理プラットフォームです。
管理ネットワークの中心に位置し、組織全体のセキュリティポリシー、通信ログ、脅威イベントを集約して制御します。

セキュリティ研究者により、国家支援ハッカー集団（Sandworm / IRON VIKINGとの関連が疑われる）が運用するモジュール型マルウェア「Cyclops Blink」の新たな64ビット（x86-64）Linux亜種が確認されました。
従来、Cyclops BlinkはSOHO向けルーター（32-bit PowerPCアーキテクチャ）やファームウェアの書き換えを標的としていましたが、この亜種はCisco Firewall Management Centerなどの企業のネットワーク管理機器や境界アプライアンス（x86-64 Linux環境）を標的として再設計されています。
初期侵入（Cisco FMC等の未修正の脆弱性悪用や、漏洩した管理資格情報の使用など）によってroot権限を取得された後、持続的なリモートアクセス維持、パケットキャプチャ、内部ネットワーク探索などの高精度な諜報活動を実行します。
特徴的な部分をみてみましょう。

構成アーキテクチャ：x86-64 Linuxへの移植と汎用永続化
- 64ビット環境（x86-64）への移行
  従来のファームウェア依存型から汎用的なx86-64 Linuxバイナリへと進化しており、ターゲット機器の幅が大きく広がっています。
- SysVによる永続化の確保
  ベンダー独自のファームウェアを改ざんする方式から、標準的なLinuxのSysVスタートアップサービスを利用する方式へ変更されました。
  root権限を用いてシステムディレクトリ（/lib/tz/timezonecheck など）に自らを配置し、再起動後も自動実行されるよう永続化を行います。
偽装工作（プロセス偽装）
- カーネルスレッドへの偽装
  親コントローラープロセスは実行時、プロセス名を [kworker/0:1] に改ざん（偽装）します。
  これにより、Linuxシステム上で日常的に動作する標準的なバックグラウンドプロセスに紛れ込み、管理者の目や簡易的な監査から発見を逃れます。
モジュール構造（5つの子プロセス）
親コントローラーのもと、役割ごとに分担された5つの子プロセス（ワーカーモジュール）を生成して連携動作します。
1. ホスト・ネットワーク偵察モジュール
  OS情報、アカウント、プロセス、ストレージ、ネットワークインターフェース、DNSリゾルバ情報を収集します。権限に応じてパスワードハッシュの取得も試みます。
2. 転送・実行モジュール
  内部ファイルの外部流出（Exfiltration）のほか、HTTP/HTTPS経由で追加ペイロードをダウンロード・実行、またはLinuxコードをメモリ上に直接読み込んで実行します。
3. アクティブ内部スキャナー
  ローカルに接続されたIPv4ネットワークを自発的に探索します。管理ポート、ファイル共有、ディレクトリサービス、VPN、仮想化などの主要サービス（ポート）をスキャンし、組織内部の未公開資産や横展開のターゲットを特定します。
4. パケットキャプチャ（スニッフィング）機能
  プログラマブルなパケット監視機能を備え、ネットワーク機器を通過する通信パケットをキャプチャ・分析します。
5. C2通信・永続化管理モジュール
  C2（Command & Control）サーバーとの通信は、暗号化されたTLSトンネルと独自のプロトコルを用いて実行されます。定期的なビーコン送信（観測例では1時間ごと）を行い、C2リストや通信頻度を動的に変更可能です。

本アタックキャンペーンで確認された新しいCyclops Blinkは、「内部管理基盤（Cisco FMC等）の高い制御権限と広範なアクセス経路を悪用した高度な諜報プラットフォーム」です。

リスクの要点:
従来のエンドポイント検出（EDR）ツールが導入しにくいネットワーク機器が狙われており、一度感染すると外部からは見えにくい内部ネットワーク全体の解明や通信の傍受に繋がる重大なリスクがあります。
推奨される対応:
- 外部に面した管理インターフェース（FMCなど）に対する最新のセキュリティパッチ適用（特に脆弱性CVE-2026-20079等の修正）。
- 管理コンソールをインターネットから直接アクセス不能にし、VPNや制限された管理ネットワーク内に隔離すること。
- 単にパッチを当てるだけでは既に侵入済みのマルウェアは削除されないため、不審なファイルパス（/lib/tz/timezonecheck 等）や通信ログのIoC確認・侵害調査を徹底すること。

“Eye” spy: Cyclops Blink returns with extended capabilities
https://www.sophos.com/en-gb/blog/-eye-spy-cyclops-blink-returns-with-extended-capabilities