Cisco Talos verfolgt die drei Aktivitätscluster unter den Bezeichnungen UAT-12197, UAT-11823 und UAT-11988. „Die Analyse von Talos zeigt drei Cluster von Aktivitäten nach der Kompromittierung von FMC-Instanzen, die staatlich unterstützten Akteuren und Kriminellen zuzuordnen sind", heißt es in dem Bericht.
Den Cluster UAT-11988 ordnet Talos mit hoher Zuversicht Partnern der Qilin-Ransomware zu. Die Angreifer meldeten sich zunächst über die statischen Zugangsdaten aus CVE-2026-20316 an einem FMC-Gerät an und missbrauchten anschließend legitime, im System vorhandene FMC-Werkzeuge zur Erkundung des Opfernetzes. Gesammelt wurden Hostnamen, IP-Adressen, Verzeichnislisten, Zugangsdaten von Active-Directory-Dienstkonten, MySQL-Zugangsdaten, Informationen zu Domänenkonten, Rechnerlisten sowie Zuordnungen von Hostnamen zu IP-Adressen interner Server und Infrastruktur.
Diese Daten legten die Angreifer laut Talos in öffentlich erreichbaren Dateien auf dem kompromittierten FMC-Server ab und luden sie per HTTP-GET-Anfragen herunter. Für dauerhaften Zugriff auf interne Systeme richteten sie einen in Python geschriebenen SOCKS5-Proxy und einen Reverse-SSH-Tunnel ein und leiteten Ports für LDAP, LDAPS, Kerberos, SMB, NetBIOS und WinRM weiter. Danach kamen Werkzeuge wie Impacket, Invoke-TheHash und eigens entwickelte EDR-Killer zum Einsatz, bevor die Qilin-Ransomware auf Endpunkten Dateien verschlüsselte.
Den zweiten Cluster, UAT-11823, schreibt Talos mit hoher Zuversicht einem hochentwickelten Angreifer zu, dessen Werkzeuge sich mit denen der APT-Gruppe Sandworm überschneiden. Sandworm gilt als russische staatlich gesteuerte Gruppe mit Verbindungen zum Militärgeheimdienst GRU und ist für zerstörerische Angriffe auf Regierungen und kritische Infrastruktur bekannt.
Die Gruppe verschaffte sich Zugang entweder über CVE-2026-20079 oder über die statischen Zugangsdaten aus CVE-2026-20316. Anschließend manipulierte sie eine Datei namens license.tmp, um über Netcat eine Reverse Shell zu ihrer Command-and-Control-Infrastruktur aufzubauen; die präparierte Lizenzdatei wurde mit dem legitimen Cisco-Werkzeug package_info.pl als Root ausgeführt. Zusätzlich brachten die Angreifer Skripte zum Einsatz, die Konfigurationsdaten verwalteter Geräte einsammelten und für eine spätere Exfiltration in Archiven ablegten. Am Ende installierte UAT-11823 eine Variante von Cyclops Blink — einer modularen Linux-Schadsoftware, die zuvor Sandworm zugeschrieben wurde. Die Variante dient als Hintertür für dauerhaften Zugriff, Diebstahl von Zugangsdaten und das Mitlesen von Netzwerkverkehr.
Der dritte Cluster, UAT-12197, nutzte CVE-2026-20079 und platzierte eine JSP-basierte Web-Shell im Tomcat-Webroot-Verzeichnis des Cisco Security Manager. Über diese Web-Shell installierten die Angreifer eine bösartige JAR-Datei namens cmd.jar, mit der sich Befehle auf dem Server ausführen ließen. Damit fragten sie interne Datenbanken ab und entwendeten Authentifizierungsdaten und Zugangsdaten von Nutzern.
Der Bericht klärt zugleich offene Fragen zur Ausnutzung beider Lücken, die erstmals im Juli offengelegt wurden. Wie BleepingComputer am 29. Juli berichtete, hatte Cisco die aktive Ausnutzung von CVE-2026-20316 bestätigt und vor einer Verkettung mit weiteren FMC-Schwachstellen gewarnt. Gleichzeitig ergänzte Cisco das Advisory zu CVE-2026-20079 um denselben Kompromittierungsindikator /var/tmp/license.tmp, bestätigte aber nicht, dass auch die Authentifizierungsumgehung angegriffen wurde. Auf Nachfrage von BleepingComputer zu Zusammenhang, Ausnutzung und dem identischen Indikator antwortete Cisco damals nicht direkt, sondern verwies lediglich auf die Empfehlung, die Hotfixes schnellstmöglich einzuspielen. Talos hat nun bestätigt, dass UAT-11823 beide Schwachstellen ausnutzte und dabei den license.tmp-Mechanismus verwendete.