Cisco Talos verbindet Sandworm und Qilin-Ransomware mit den FMC-Firewall-Schwachstellen

Cisco Talos hat drei separate Bedrohungscluster identifiziert — darunter eine russische staatlich unterstützte Gruppe und ein Qilin-Ransomware-Partner —, die die beiden Secure Firewall Management Center (FMC)-Schwachstellen ausnutzen, die Cisco Anfang dieser Woche als aktiv angegriffen bestätigte, und löst damit die offen gebliebenen Zuordnungsfragen.

Diese Cluster, von Talos als UAT-12197, UAT-11823 und UAT-11988 verfolgt, nutzten CVE-2026-20079 und CVE-2026-20316 aus, um Web-Shells zu installieren, Zugangsdaten zu stehlen und in einigen Fällen Ransomware oder staatlich verknüpfte Backdoor-Malware zu installieren.

Ein Qilin-Ransomware-Partner

Talos ordnete einen Cluster, UAT-11988, mit hoher Zuversicht Partnern der Qilin-Ransomware-Operation zu, die letztlich Endpunkte mit Qilin-Ransomware verschlüsselten.

Eine mit Sandworm verbundene APT-Gruppe setzt Cyclops Blink ein

Ein zweiter Cluster, UAT-11823, wurde mit hoher Zuversicht einer Gruppe zugeordnet, deren Tools sich mit Sandworm überschneiden — der russischen, mit dem GRU verbundenen Militärgeheimdiensteinheit. Diese Gruppe setzte eine Variante von Cyclops Blink ein.

Was dies über die Juli-Zeitlinie bestätigt

Der Talos-Bericht bestätigt nun, dass beide Schwachstellen, in einigen Fällen von denselben Akteuren, im selben Zeitraum ausgenutzt wurden. Ursprünglicher Bericht von BleepingComputer.