Firewalls van fabrikant WatchGuard zijn het doelwit van een geavanceerde firmware-aanval waarbij aanvallers de systemen met persistente malware infecteren genaamd Cyclops Blink, zo waarschuwen de Amerikaanse en Britse autoriteiten, die van professioneel ontwikkelde malware spreken. Volgens de FBI, NSA, het Cybersecurity and Infrastructure Security Agency (CISA) en het Britse National Cyber Security Centre (NCSC) is de malware ontwikkeld door een groep genaamd Sandworm, die aan de Russische geheime dienst GRU gelieerd zou zijn.

De Amerikaanse en Britse diensten denken dat Cyclops Blink de opvolger is van VPNFilter. Deze malware werd in 2018 ontdekt en had honderdduizenden routers van Linksys, MikroTik, NETGEAR en TP-Link en NAS-systemen van QNAP geïnfecteerd. De Cyclops Blink-malware, die sinds juni 2019 actief is, infecteert voor zover bekend alleen WatchGuard-firewalls. Het gaat dan specifiek om WatchGuard-apparaten waarvan remote management is ingeschakeld. Iets wat geen standaardinstelling is. Hoe de aanvallers toegang tot de firewall krijgen is onbekend. Wel is duidelijk dat ze het legitieme updateproces gebruiken om malafide firmware te installeren.

"De ontwikkelaars hebben duidelijk het firmware-updateproces van de WatchGuard Firebox gereverse engineerd en een specifieke zwakte in dit proces gevonden, namelijk de mogelijkheid om de HMAC-waarde gebruikt voor het verifiëren van een firmware-update-image opnieuw te berekenen", aldus het NCSC (pdf). Op deze manier kunnen de aanvallers de WatchGuard-firewall blijvend besmetten, aangezien de infectie in de firmware aanwezig is. Volgens het NCSC is Cyclops Blink professioneel ontwikkelde en zeer geavanceerde malware.

Organisaties die van WatchGuard-firewalls gebruikmaken moeten ervan uitgaan dat alle wachtwoorden op het apparaat zijn gecompromitteerd. WatchGuard stelt dat minder dan 1 procent van de firewalls vermoedelijk besmet is geraakt. Vooralsnog lijkt er geen data via de gecompromitteerde firewalls te zijn gestolen. WatchGuard heeft een detectietool ontwikkeld en geeft op deze pagina meer informatie van organisaties kunnen doen om de malware op hun apparaten te detecteren en verwijderen.