Ruská skupina Sandworm rozšiřuje botnet zneužívající zranitelnosti v zařízeních Cisco

Ruská hackerská skupina Sandworm, spojovaná s vojenskou zpravodajskou službou GRU, znovu rozšiřuje síť napadených zařízení pomocí vylepšené verze botnetového malwaru zaměřeného na zranitelnosti v produktech Cisco. Bezpečnostní experti upozorňují, že jde o dlouhodobě aktivní hrozbu, jejíž kořeny sahají do minulého desetiletí, a jejíž nástroje se postupně stávají sofistikovanějšími a hůře odhalitelnými.

Sandworm je jednou z nejznámějších a nejnebezpečnějších skupin spojovaných s ruským státem v oblasti kybernetických operací. V minulosti stála za rozsáhlými útoky na ukrajinskou energetickou infrastrukturu, za šířením ničivého malwaru NotPetya a za dalšími operacemi, které měly destabilizující dopad daleko za hranicemi Ukrajiny. Skupina je považována za jednu z nejaktivnějších státem sponzorovaných hrozeb vůbec, a to nejen kvůli technické vyspělosti svých nástrojů, ale i kvůli ochotě útočit na kritickou infrastrukturu.

Nová vlna útoků se soustředí na zneužívání zranitelností v síťových zařízeních Cisco, která jsou často nasazena v podnikových sítích i u poskytovatelů internetových služeb. Útočníci se pomocí těchto zranitelností snaží získat trvalý přístup k zařízením a zapojit je do rozsáhlé botnetové sítě. Taková síť pak může sloužit k několika účelům – od shromažďování zpravodajských dat přes maskování další škodlivé aktivity až po přípravu na budoucí destruktivní útoky, včetně možného narušení kritické infrastruktury v cílových zemích.

Podle dostupných informací jde o vylepšenou verzi malwaru, který skupina používala i v minulosti. Nová varianta má být odolnější vůči detekci a lépe přizpůsobená k obcházení bezpečnostních mechanismů, které organizace v posledních letech nasadily. To naznačuje, že Sandworm své nástroje průběžně vyvíjí a reaguje na obranná opatření, která byla zavedena poté, co byly jeho dřívější kampaně odhaleny.

Právě zranitelnosti v síťových zařízeních jsou pro tento typ útoku klíčové. Routery, přepínače a další infrastrukturní prvky bývají často opomíjeny při pravidelných aktualizacích bezpečnostních záplat, přestože tvoří páteř firemních i vládních sítí. Pokud se útočníkovi podaří takové zařízení kompromitovat, získává nejen přístup k datům procházejícím sítí, ale i možnost skrytě sledovat komunikaci nebo provádět další škodlivé kroky bez toho, aby si toho provozovatel sítě všiml.

Případ Sandworm není novým fenoménem – americká Federální vyšetřovací agentura (FBI) proti skupině zasáhla už v roce 2022, kdy se podílela na narušení botnetové infrastruktury, kterou skupina tehdy provozovala. Tehdejší zásah byl součástí širší snahy amerických bezpečnostních složek omezit schopnost ruských státních aktérů využívat kompromitovaná zařízení po celém světě k špionáži i přípravě budoucích útoků. Přestože tento zákrok tehdy dočasně narušil operační schopnosti skupiny, jak ukazuje současný vývoj, Sandworm se z podobných zásahů dokázal poučit a svou infrastrukturu i nástroje postupně obnovil a modernizoval.

Bezpečnostní komunita dlouhodobě upozorňuje, že skupiny jako Sandworm představují trvalou hrozbu právě proto, že mají k dispozici značné technické i finanční zdroje a jsou schopny se rychle přizpůsobovat novým bezpečnostním opatřením. Organizace využívající síťová zařízení Cisco jsou proto opakovaně vyzývány, aby pravidelně aktualizovaly firmware a software svých zařízení a sledovaly bezpečnostní doporučení výrobce i státních kybernetických agentur.

Aktuální kampaň znovu potvrzuje, že hrozba ze strany ruských státem podporovaných hackerských skupin zůstává aktuální a že snaha o budování botnetových sítí z napadených síťových zařízení je jednou z jejich dlouhodobých strategií. Odborníci doporučují firmám i institucím věnovat zvýšenou pozornost segmentaci sítí, monitorování neobvyklého provozu a rychlé instalaci bezpečnostních záplat, aby se minimalizovalo riziko zneužití podobných zranitelností v budoucnu.