مخترقون استغلوا ثغرة في Cisco SD-WAN لزرع برمجيات خبيثة تسرق مفاتيح التشفير

Instagram login screen with fields for username and password — Zulfugar Karimov / Unsplash

استغل مخترقون ثغرة أمنية حرجة في Cisco Catalyst SD-WAN لزرع برمجيات خبيثة مخصصة داخل الأنظمة التي تتحكم في شبكات SD-WAN الخاصة بالمؤسسات، وهي الثغرة التي تم إصلاحها في شهر فبراير.

أفادت Cisco Talos في 28 أكتوبر أن البرمجية الخبيثة، التي تسمى KeyDrift، مصممة لنسخ مفاتيح التشفير التي تؤمن حركة المرور بين المواقع وتخزينها لاستخدامها لاحقاً. وصفت Talos هذه الهجمات بأنها تاريخية، لكنها لم تحدد توقيت حدوثها أو ما إذا كانت أي مفاتيح قد تم إرسالها بالفعل.

تسمح الثغرة التي تحمل الرمز CVE-2026-20127، وحصلت على درجة 10.0 في نظام CVSS، لمهاجم عن بعد غير مصرح له بتجاوز المصادقة واكتساب صلاحيات إدارية على أنظمة التحكم. ويمكن للمهاجم تسجيل الدخول عبر وحدة التحكم باستخدام حساب داخلي ذي صلاحيات عالية، ولكنه ليس حساب الجذر.

تستهدف المجموعة المسؤولة عن KeyDrift، والتي تتبعها Talos تحت الرمز UAT-11473، قطاعات خدمات الفضاء والأقمار الصناعية، وتكنولوجيا الدفاع والفضاء، وأبحاث السياسات. وترى Talos بثقة عالية أن البنية التحتية لهذه المجموعة تتداخل بشكل كبير مع شبكة تسمى Silent Train، والتي تستخدم أجهزة منزلية ومكتبية صغيرة وأجهزة إنترنت الأشياء المخترقة.

أشارت Lumen إلى أن مجموعة Volt Typhoon، التي وصفتها وكالة CISA ووكالة الأمن القومي ومكتب التحقيقات الفيدرالي بأنها مجموعة مدعومة من الدولة الصينية، استخدمت شبكة Silent Train لإخفاء نشاطها. وذكرت Lumen أن Volt Typhoon استغلت الثغرة CVE-2026-20127 بحلول أواخر عام 2025 واستمرت في ذلك بعد إصلاح Cisco للثغرة في فبراير، لكن Lumen لم تربط هذا النشاط ببرمجية KeyDrift.

تعمل KeyDrift عبر مكون يسمى LittleFilch يقوم باعتراض رسائل التحكم بعد فك تشفيرها لسحب عناوين البروتوكول ومفاتيح AES-256. كما تستخدم وحدة PolyFlame التي تعمل في الذاكرة كباب خلفي لتنفيذ الأوامر أو كجهاز ترحيل للأوامر بين خادم التحكم وأجهزة أخرى. وتتضمن التقنيات المستخدمة تزييف الطوابع الزمنية للملفات لتمويه النشاط.

تؤثر هذه الثغرة على وحدات التحكم والمديرين والمصادقين في Catalyst SD-WAN، سواء كانت الأنظمة مثبتة محلياً أو عبر سحابة Cisco، بما في ذلك بيئات FedRAMP. وأكدت Cisco وجود استغلال محدود للثغرة، مشيرة إلى عدم وجود حل مؤقت، ومطالبة العملاء بتحديث أنظمتهم أو تقييد الوصول إلى المنافذ 22 و830 كإجراء احترازي، مع التنبيه بأن حظر المنافذ لا يزيل البرمجيات الخبيثة الموجودة بالفعل.