Cyclops Blinkの新種をSophosが解析 — Cisco FMC上で内部ネットワーク走査とパケット傍受の機能を追加、ロシア関連と高確度で評価

要点

• 英SophosのCounter Threat Unit（CTU）は2026年9月、侵害されたCisco Secure Firewall Management Center（FMC）上で見つかったCyclops Blinkの新種について、解析結果を公表した。新種は64ビットx86-64のLinux実行ファイルで、従来のWatchGuard Firebox向け32ビットPowerPC版から動作対象が大きく広がっている。
• 新種は親コントローラと5つのワーカーモジュールで構成される。内部ネットワークを走査するモジュールと、指定した条件に一致する通信を記録するパケット傍受のモジュールが加わり、侵害された管理アプライアンスは内部偵察と通信監視の拠点になりうる。
• Sophosは2026年のCyclops Blinkの活動について、ロシアとの関連を「高確度」、**IRON VIKING（別名Sandworm、Seashell Blizzard）との関連を「中程度の確度」**と評価した。Cyclops Blinkは2022年に米英当局がロシアのGRU関連活動（Sandworm）と位置づけたマルウェアである。
• Sophosは、FMCなどの管理アプライアンスでSysVサービスとtimezone_checkの痕跡、TCPポート43856・49172への外向きTLS通信、raw socketを使った内部走査の兆候を確認するよう呼びかけている。あわせて、Ciscoが公開済みのホットフィックスの適用を挙げている。

英SophosのCounter Threat Unit（CTU）は2026年9月、侵害されたCisco Secure Firewall Management Center（FMC）上で見つかったCyclops Blinkの新種について、解析結果を公表した。Cyclops Blinkは、ネットワーク機器に常駐して遠隔操作を可能にするモジュラー型のマルウェアである。Sophosは2026年8月、複数の侵害されたアプライアンス上でtimezone_checkという名称の64ビットLinux実行ファイルを確認し、解析した。

今回の報告で最も重要な点は3つある。第一に動作対象の広がり、第二に内部ネットワーク走査とパケット傍受という新しい機能、第三に帰属評価である。

32ビットPowerPC版から64ビットx86-64版へ

Sophosは、新旧のCyclops Blinkを実行形式と対応プラットフォームの違いで対比している。

• 従来のCyclops Blink — 32ビットPowerPC、ビッグエンディアンのLinux ELF。主にWatchGuard Fireboxを対象とし、ホスト偵察、ファイル転送、C2アドレスの保存、WatchGuard固有の更新・永続化という4つのモジュールを持っていた。
• 2026年に確認された新種 — 64ビットx86-64のLinux ELF（System V AMD64 ABI）。親コントローラと5つのワーカーモジュールという構成に変わり、WatchGuard固有の処理はなくなった。

この変更により、新種はSysV initを備えた幅広いLinuxベースのネットワーク機器で動作しうる。Sophosは、管理機能、セキュリティ、ルーティング、リモートアクセス、トラフィック検査を担うx86-64のLinuxアプライアンスが主な脅威対象になると評価している。従来は特定ベンダーの機器に限定されていたマルウェアが、機種を選ばない汎用的なインプラントへ移行した点が変化の核心である。

コントローラと5つのモジュール

新種の動作は、親コントローラが5つの子プロセス（ワーカーモジュール）を管理する構成になっている。

• コントローラは、カーネルのワーカースレッドに見えるよう**[kworker/0:1]という名前**で動作する。正規のkworkerはLinuxでごく一般的なプロセスであるため、psなどで一覧を見ただけでは気づきにくい。
• コントローラは専用のプロセス間通信でモジュールを制御し、収集した出力を暗号化してTLS接続で外部へ送信する。
• コントローラは起動時、iptablesのOUTPUTチェーンに、宛先TCPポート43856と49172を許可するACCEPTルールを追加する。この2つのポートは、このマルウェアのC2通信に使われる。
• 収集したホスト情報（OS、アカウント、プロセス、ストレージ、ネットワークインターフェース、リゾルバーなど）を基に、権限が許せばパスワードハッシュの取得も試みる。

追加された機能 — 内部走査とパケット傍受

新種で最も注意すべき追加点は、侵害した機器を偵察・監視の装置に変える2つのモジュールである。

1つ目は内部ネットワークの走査である。このモジュールは、接続されているIPv4ネットワークを列挙し、攻撃者が指定した範囲か、あらかじめ埋め込まれたポート一覧を対象に走査する。走査ではraw socketでEthernet・IPv4・TCPフレームを直接生成し、SYN-ACKの応答から開いているポートを判定する。HTTPレスポンスの取得やTLSの疎通確認も行う。内蔵の対象にはSSH、Telnet、SMB、LDAP、DNS、SNMP、VMware関連サービス、HTTP/HTTPS、VPN関連ポートが含まれる。

FMCはネットワークの管理プレーンに位置するため、この機能を使うとインターネットからは直接到達できない内部の管理系システムやサービスが攻撃者の視界に入る。

2つ目はパケット傍受である。このモジュールは**AF_PACKETのraw socketを開き、ホストから見えるEthernetフレームを収集する。取得したIPv4のTCP/UDPペイロードを解析し、複数パターンを同時に照合する方式（Aho-Corasick型）で内容を検索する。攻撃者は取得時間、プロトコル、アドレス、ポート、検索語を指定できるため、全通信を持ち出すのではなく、認証情報、認証Cookie、アクセストークン、管理コマンド、業務アプリのデータなど狙った情報だけを記録できる。一致した通信はタイムスタンプ付きのpcap形式のレコード**として保持される。

加えて、別のモジュールがファイルのアップロード、HTTP/HTTPS経由のダウンロード、任意コードの実行、メモリ内へのLinuxコードの読み込みを担う。ダウンロードしたELFバイナリを新しいモジュールとして登録できるため、本体を入れ替えずに機能を拡張できる。名前解決には**DNS over HTTPS（DoH）**を使う経路もあり、ローカルのリゾルバーを経由しないため、通常のDNSログに痕跡が残りにくい。

永続化とC2の仕組み

Sophosの解析によると、新種は標準のSysV initの仕組みを使って再起動後も動作を続ける。具体的には、自身をシステムディレクトリ（Sophosの報告では/lib/tz/timezone_check）に複製し、/etc/init.d/timezone_checkというinitスクリプトを作成したうえで、SysVのランレベル2から5のシンボリックリンクを../init.d/timezone_checkに向けて作成する。

/libと/etcの下に書き込む必要があるため、このインストールが成功した場合はroot権限で実行されたと判断できる。ファイルパスとサービス名は「timezone（タイムゾーン）」に関連する名前を使っており、正規のシステムファイルに見えるよう細工されている点も特徴である。

C2通信は、外向きのTCP接続をTLSで保護して行われる。解析した検体にはC2アドレス89[.]34[.]96[.]56がハードコードされており、TCPポート43856または49172のいずれかへ接続を試みる。従来の証明書検証は行わず、HTTPではなく独自プロトコルでデータをやり取りする。観測された事案では1時間ごとにビーコン（存在通知）を送信していた。

さらに、C2の設定は稼働中に遠隔から変更できる。Sophosは、攻撃者がC2アドレスの差し替え、強制的な即時ビーコン、接続間隔の変更、インプラントの再起動、ワーカーモジュールの入れ替えを行えるとしている。この設計により、防御側が通信先をブロックしても攻撃者は設定変更で回避できる。

帰属評価 — ロシアとの関連は「高確度」、IRON VIKINGとは「中程度の確度」

SophosのCTUは、2026年に確認されたCyclops Blinkの活動について、ロシアとの関連を「高確度（high confidence）」で評価した。そのうえで、IRON VIKING（別名Sandworm、Seashell Blizzard）という脅威グループとの関連は「中程度の確度（moderate confidence）」にとどめている。「ロシアに関係する活動である」という評価と、「特定のグループの活動である」という評価を分けている点は、読み方として重要である。

背景として、Cyclops Blinkは2022年に米国と英国の当局がロシアのGRUに関連する活動（Sandworm）と位置づけたマルウェアである。米国の当局は当時、このマルウェアで構築されたボットネットの無効化を発表している。今回の新種は、4年以上前に公表されたマルウェアが、対象プラットフォームを変えて再び使われた事例として位置づけられる。

Sophosはまた、解析した事案で初期侵入の経路を特定していないと説明している。新種がFMC上で動いていたこと以外に、どの経路で侵入されたかは確認されていない。

背景 — Cisco FMCの脆弱性悪用との関係

今回の新種が確認されたFMCでは、2026年9月9日にCisco Talosが、2件の脆弱性が野外で悪用されているとする分析を公表していた。

• CVE-2026-20079 — FMCの認証バイパスの脆弱性。CVSS 10.0。未認証の遠隔攻撃者がスクリプトを実行し、OSのroot権限を取得できる。
• CVE-2026-20316 — 低権限アカウントでのログインを許す脆弱性。CVSS 5.3。他の脆弱性と組み合わせて権限昇格に使われた。

Talosは、侵入後の挙動が異なる3つのクラスターを報告しており、そのうちUAT-11823はSandwormと重なる手口を持つグループで、Netcatのリバースシェルやプロキシツールに続いてCyclops Blinkを設置していた。Ciscoは両脆弱性のホットフィックスを公開しており、包括的な強化リリースは9月14日の週に予定されていた。

つまり今回の報告は、ネットワーク管理製品の脆弱性悪用から、汎用化したLinuxインプラントの設置に至る流れを、別の研究チームが別の角度から分析したものになる。

Sophosが呼びかけた確認のポイント

Sophosは、FMCに相当する管理アプライアンスを運用する組織に対し、次の確認を挙げている。

• Ciscoが提供するホットフィックスを速やかに適用する。
• FMCなどの機器で、不審なSysVサービスと**timezone_checkに関連するファイルやパス**を確認する。
• TCPポート43856と49172への外向きTLS通信を確認する。
• raw socketを使った走査、通常と異なる内部へのプローブ、不審なパケット取得の兆候を調査する。
• 対象となりうるLinuxベースのネットワークアプライアンスを、既に特定した機器以外にも広げて、報告に示されたファイル、プロセス、通信、暗号に関連する痕跡を調べる。
• 管理インターフェースへのアクセスを必要最小限に絞り、外向きの暗号化通信を確認する。

Sophosが示した主な指標

Sophosが公表した指標のうち、主なものは次のとおりである（IPアドレスは当サイトの表記ルールに従ってマスクしている）。

• C2 — 89[.]34[.]96[.]56（ハードコードされたC2アドレス）
• C2のポート — TCP 43856、TCP 49172（外向きTLS通信）
• 永続化 — /lib/tz/timezone_check（インプラント本体）、/etc/init.d/timezone_check（initスクリプト）、SysVランレベル2〜5の起動リンク
• プロセス名 — [kworker/0:1]（正規のカーネルワーカーを装うコントローラ）

まとめ — 管理プレーンの侵害は「入口」ではなく「拠点」になる

今回の報告が示すのは、ネットワーク管理アプライアンスの侵害が、単独の被害では終わらないという点である。管理プレーンに置かれたインプラントは、インターネットから見えない内部ネットワークの偵察装置となり、認証情報やトークンを狙う通信監視の装置となり、追加のペイロードを配る足場にもなる。

FMCのような機器を運用する組織にとっては、パッチ適用と侵害指標の確認に加え、もし侵害されていたら内部ネットワーク全体が偵察された前提で調査することが求められる。まずは対象機器のバージョンとホットフィックスの適用状況を確認し、報告に挙がった痕跡の有無を調べるところから始めたい。

出典

• Sophos Counter Threat Unit（CTU）「“Eye” spy: Cyclops Blink returns with extended capabilities」2026年9月 https://www.sophos.com/en-us/blog/-eye-spy-cyclops-blink-returns-with-extended-capabilities