A Cisco confirmou exploração ativa de duas vulnerabilidades no Cisco Secure Firewall Management Center (FMC), o servidor que centraliza políticas, atualizações e telemetria dos firewalls Secure Firewall de uma organização. Em campo há um ator estatal cujo kit inclui o Cyclops Blink, malware historicamente atribuído ao Sandworm, e um operador de extorsão cujos passos finais são consistentes com os afiliados do Qilin. Quem administra FMC on-premises sem correção precisa agir agora: aplicar as versões corrigidas e tratar o console como potencialmente comprometido até que a triagem mostre o contrário.

O que aconteceu

No bundle semestral de março, a Cisco revelou a CVE-2026-20079, falha crítica com CVSS 10.0 causada por um processo de sistema criado de forma imprópria na inicialização do equipamento. A falha de bypass de autenticação na interface web do Cisco Secure Firewall Management Center permite que um invasor remoto não autenticado envie requisições HTTP forjadas, execute arquivos de script e obtenha acesso root ao sistema operacional do dispositivo. Não existe workaround; a saída é atualizar. Em revisão de setembro, o PSIRT registrou que tomou conhecimento da exploração ativa em agosto, e a Talos avalia com alta confiança que as duas falhas foram combinadas nos ataques observados. Se a interface de gestão não tem exposição à internet pública, a superfície de ataque diminui, mas não desaparece.

A segunda porta de entrada é a CVE-2026-20316, divulgada em julho: credenciais estáticas de uma conta de baixo privilégio permitem login remoto e leitura de dados sensíveis. Sozinha, a falha vale CVSS 5.3; encadeada com outros problemas do FMC, serve para elevar privilégios. O PSIRT confirmou exploração ativa dessa falha desde julho — ou seja, a janela aberta pelas credenciais estáticas precede a confirmação do abuso do bypass. As instâncias cloud do FMC (cdFMC) e o Security Cloud Control não são afetados; a correção do serviço gerido pela Cisco já foi aplicada.

Como os ataques funcionam

No primeiro padrão observado, o invasor explora o bypass e planta uma web shell JSP no webroot do Tomcat CSM. O artefato decodifica em Base64 um parâmetro rotulado como nome de classe e carrega um arquivo JAR apelidado de cmd.jar — um executor de comandos que consulta o banco interno do equipamento via OmniQuery para extrair a tabela de usuários e os respectivos dados de autenticação. É roubo de credenciais direto na fonte de gestão dos firewalls.

No segundo padrão, o ator substitui o arquivo license.tmp por um pacote Makeself malicioso que é executado como root pelo utilitário legítimo package_info.pl durante o processo de instalação. O resultado é um reverse shell em Netcat para a infraestrutura do atacante. Em seguida, dois scripts bash coletam as configurações dos dispositivos gerenciados, organizam tudo em arquivos e preparam a exfiltração.

Do servidor de comando, o grupo baixa um implante modular ELF: persistência em scripts de inicialização, resolução de DNS sobre HTTPS, administração de arquivos, coleta de credenciais, execução arbitrária de comandos, varredura de rede e sniffing com filtros. Trata-se de uma variante do framework que a CISA e parceiros documentaram publicamente como substituto do VPNFilter.

O padrão criminoso começa com o login pelas credenciais estáticas e segue com técnicas living-off-the-land: enumeração ampla do ambiente, montagem de proxy SOCKS5 em Python e túnel SSH reverso do FMC para a máquina do atacante, encaminhando LDAP, LDAPS, Kerberos, SMB, NetBIOS e WinRM. Depois vêm impacket, Invoke-TheHash, mata-antivírus e, por fim, a criptografia dos alvos escolhidos.

Os três atores em campo

O levantamento da Talos divide a atividade em três clusters de pós-comprometimento. O primeiro, batizado UAT-12197, explora o bypass para plantar web shell e roubar credenciais de autenticação. O segundo, UAT-11823, é um ator de ameaça persistente avançada com sobreposição de ferramentas com o Sandworm; a intrusão terminou na implantação de uma variante do malware Cyclops Blink, família atribuída ao grupo russo pelo governo dos Estados Unidos e do Reino Unido. O terceiro, UAT-11988, é avaliado com alta confiança como operador de ransomware: entrou com as credenciais estáticas, mapeou o domínio, roubou contas de serviço e de MySQL, e conduziu a fase final com táticas dos afiliados do Qilin.

O ponto comum dos três grupos é o alvo: o console que gere os firewalls. Quem controla o FMC controla a política de toda a borda de rede — por isso a correção isolada não encerra o incidente.

Sinais de comprometimento

A triagem começa pelos artefatos públicos. Na rede, a Talos liberou regras Snort para o bypass (SIDs 66075 a 66080), para a falha de credenciais estáticas (SID 66883) e para o malware (SIDs 66960 e 66961). No host, vale conferir execuções fora de hora do package_info.pl, arquivos license.tmp modificados, sessões Netcat inesperadas e tráfego DNS sobre HTTPS a partir do console de gestão.

Indicador Cluster Descrição
89.34.96[.]56 UAT-11823 C2 de reverse shell e do implante
208.123.119[.]215 UAT-11823 C2 de reverse shell em Netcat
104.218.165[.]253 UAT-11823 Scanner do atacante para o bypass
43.204.2[.]142 UAT-11988 IP usado nas intrusões
6f98add5d1a77… UAT-11823 Amostra do implante modular
Db491181ece3… UAT-12197 Executor de comandos em JAR

A lista completa de hashes e endereços está no repositório de IOCs da Talos. Se qualquer indicador aparecer, o caminho é acionar o TAC da Cisco e preservar evidências antes de reiniciar ou limpar o equipamento — a resposta a incidentes exige autoridade e evidência para ser defensável.

Plano de resposta priorizado

  • P1 — Corrigir: subir para as versões de hardening que substituíram os hotfixes (7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2 ou 10.1.0 conforme a linha em uso), que corrigem também outras falhas descobertas internamente.
  • P1 — Triar: caçar os indicadores acima antes de declarar o caso encerrado; a atualização bloqueia nova exploração, mas não remove implantes já instalados.
  • P1 — Rotacionar: trocar credenciais de contas de serviço e de domínio que passavam pelo FMC, incluindo as armazenadas no banco interno consultado pelo cmd.jar.
  • P2 — Reduzir superfície: tirar a interface de gestão da internet e restringir o acesso por segmento dedicado de gerência.
  • P2 — Monitorar: criar alertas para execuções de package_info.pl, conexões de saída do console e autenticações com a conta de baixo privilégio.

Para organizações que sofrem a fase de extorsão, a resiliência decide o resultado: backups imutáveis continuam sendo a última linha contra ransomware e permitem restaurar sem negociar com criminosos.

Um incidente nesse nível também é um teste de governança — decidir quem contém, quem comunica e o que constitui evidência deve estar definido antes do primeiro alerta.

Fontes