Через уязвимость в Cisco SD-WAN хакеры внедряли KeyDrift — вредонос для кражи ключей шифрования

Злоумышленники воспользовались критической уязвимостью в Cisco Catalyst SD-WAN, исправленной ещё в феврале, и установили специально написанное вредоносное ПО на системы, управляющие SD-WAN-сетью организации. Программа KeyDrift копирует ключи, которыми шифруется трафик между площадками, и сохраняет их для дальнейшего использования. Об этом 28 октября сообщила Cisco Talos. Исследователи называют атаки историческими, однако не уточняют, когда они происходили и были ли ключи куда-либо отправлены.

Уязвимость CVE-2026-20127 оценена в 10,0 балла по CVSS. Она позволяет удалённому неаутентифицированному атакующему обойти проверку подлинности и получить административные права на управляющих системах. В феврале Talos связала её эксплуатацию с кластером активности UAT-8616, который, по данным компании, действует как минимум с 2023 года.

Как устроен KeyDrift

В традиционной схеме обмена ключами каждый маршрутизатор SD-WAN периодически генерирует AES-ключ и передаёт его на контроллер Catalyst SD-WAN Controller (бывший vSmart), а тот рассылает ключи другим маршрутизаторам. Зашифрованными управляющими соединениями занимается процесс vdaemon.

Компонент LittleFilch внедряется в vdaemon и читает управляющие сообщения уже после расшифровки. Для заданного списка пограничных маршрутизаторов он извлекает IP-адреса и 32-байтовое поле, которое Talos считает ключевым материалом AES-256. Собранное шифруется RSA, записывается в файл и может отправляться по UDP на адрес из файла настроек, который удаляется после прочтения. Восстановить этот файл исследователям не удалось.

Основной модуль PolyFlame работает в памяти внутри vdaemon. Он может служить бэкдором наподобие TinyShell или ретранслятором команд. Команды он принимает внутри управляющего трафика SD-WAN, поэтому в изученных образцах нет жёстко прописанного адреса сервера. Запуск обеспечивают изменённые скрипты runit. На узле Validator (бывший vBond) злоумышленники создавали поддельную службу aaamgr. Кроме того, они подменяли временные метки и права доступа файлов, копируя их с уже существующих.

Кто стоит за атаками

Talos отслеживает группу как UAT-11473. Её цели — космические и спутниковые сервисы, оборонные и аэрокосмические технологии, политические исследования. Инфраструктура группы, по оценке Talos, «значительно пересекается» с Silent Train: так Black Lotus Labs из Lumen называет сеть взломанных SOHO-, IoT- и корпоративных устройств, которую использовала Volt Typhoon — группировка, связанная, по данным CISA, АНБ и ФБР, с китайским государством. При этом Talos не утверждает, что это одна и та же группа, и не объясняет, как UAT-11473 соотносится с UAT-8616. Lumen отдельно сообщила, что Volt Typhoon эксплуатировала CVE-2026-20127 уже в конце 2025 года, но с KeyDrift эту активность не связывает.

Что делать

Уязвимость затрагивает Controller, Manager и Validator при любой конфигурации — как локальные установки, так и облачные развёртывания Cisco, включая среды Cisco Managed и FedRAMP. Обходного решения нет: требуется обновление, а для веток, поддержка которых закончилась, — миграция на поддерживаемую версию. Локальным заказчикам до обновления рекомендуют ограничить доступ к портам 22 и 830 адресами известных систем, однако эта мера не удаляет уже установленное вредоносное ПО.

Talos выпустила правила Snort для обнаружения управляющих соединений KeyDrift и перечислила файлы, которые использует вредонос. Хэшей, IP-адресов и доменов в отчёте нет. Остаётся неясным, удаляет ли обновление KeyDrift со скомпрометированного устройства и нужно ли менять ключи. В февральском руководстве Cisco предупреждает, что эксплойты, установленные до обновления, могут остаться на месте.

Источник: The Hacker News