--- title: Schadsoftware KeyDrift stiehlt Verschlüsselungsschlüssel über Cisco-Schwachstelle url: https://www.dataloco.com/de/schadsoftware-keydrift-stiehlt-verschlusselungsschlussel-uber-cisco-schwachstelle published: 2026-11-01T08:21:16+00:00 language: de section: Sicherheit source: https://thehackernews.com/2026/10/hackers-exploited-cisco-sd-wan-flaw-to.html organizations: Cisco, Cisco Talos, Lumen, CISA, NSA, FBI publisher: Dataloco --- # Schadsoftware KeyDrift stiehlt Verschlüsselungsschlüssel über Cisco-Schwachstelle Hacker nutzten eine kritische Schwachstelle im Cisco Catalyst SD-WAN-System aus, um maßgeschneiderte Schadsoftware in die Systeme einzuschleusen, die das SD-WAN-Netzwerk einer Organisation steuern. Die Schwachstelle wurde im Februar behoben, doch die Angreifer installierten den Schädling namens KeyDrift, um den Zugriff auf sensible Daten zu erlangen. Cisco Talos berichtete am 28. Oktober über diese Vorfälle und bezeichnete die Angriffe als historisch, ohne jedoch genaue Zeitpunkte oder den Erfolg des Schlüsseldiebstahls zu bestätigen. Die Schwachstelle wird unter der Kennung CVE-2026-20127 geführt und weist eine CVSS-Punktzahl von 10,0 auf. Sie ermöglicht es einem nicht authentifizierten Remote-Angreifer, die Authentifizierung zu umgehen und administrative Rechte auf den Steuerungssystemen zu erlangen. Auf einem Controller kann der Angreifer sich als hochprivilegiertes internes Konto anmelden, das nicht der Root-Benutzer ist. Als Cisco die Schwachstelle im Februar offenlegte, verfolgte Talos die Ausnutzung unter der Bezeichnung UAT-8616, einer Aktivitätscluster, der mindestens bis ins Jahr 2023 zurückreicht. KeyDrift ist darauf ausgelegt, die Schlüssel zu kopieren, die den Datenverkehr zwischen Standorten verschlüsseln, und sie für die spätere Nutzung zu speichern. Ein Komponente namens LittleFilch hakt in den Prozess vdaemon ein und liest Kontrollnachrichten nach deren Entschlüsselung aus. Sie extrahiert IP-Adressen und ein 32-Byte-Feld, das Talos als AES-256-Schlüsselmaterial identifiziert. LittleFilch verschlüsselt die gesammelten Daten mit RSA und schreibt sie in eine Datei, die sie dann über UDP an eine Adresse senden kann, die in einer Einstellungsdatei hinterlegt ist. Die Gruppe hinter KeyDrift, die Talos als UAT-11473 verfolgt, hat Raumfahrt- und Satellitendienste, Verteidigungs- und Luftfahrttechnologie sowie Politikforschung ins Visier genommen. Talos bewertet mit hoher Sicherheit, dass die Infrastruktur dieser Gruppe erheblich mit Silent Train überlappt. Silent Train ist der Name, den Lumens Black Lotus Labs für ein Netzwerk gehackter Geräte verwendet. Lumen gab bekannt, dass Volt Typhoon dieses Netzwerk nutzte, um seine Aktivitäten zu verbergen. CISA, NSA und FBI stuften Volt Typhoon 2024 als chinesischstaatlich gesponserte Cyber-Gruppe ein. Talos verknüpft UAT-11473 mit Volt Typhoon nur aufgrund der Infrastrukturüberlappung und behauptet nicht, dass es sich um dieselbe Gruppe handelt. Separat berichtete Lumen, dass Volt Typhoon CVE-2026-20127 bis Ende 2025 ausnutzte und dies auch nach der Offenlegung durch Cisco fortsetzte. KeyDrift startet primär über modifizierte runit-Skripte. Ein Tool namens rsshd injiziert das Hauptmodul PolyFlame in die Prozesse von vdaemon. PolyFlame läuft im Speicher und kann als Backdoor oder Relay fungieren. Die Schwachstelle betrifft den Catalyst SD-WAN Controller, Manager und Validator, unabhängig von ihrer Konfiguration. Dies umfasst On-Premises-Systeme sowie Cloud-Bereitstellungen von Cisco. Cisco ist sich einer begrenzten Ausnutzung bewusst und gibt an, dass es keine Umgehungsmöglichkeit gibt. Kunden können den Zugriff auf die Ports 22 und 830 auf bekannte IP-Adressen beschränken, bis sie aktualisieren können. Dies entfernt jedoch keine bereits vorhandene Schadsoftware. Talos rät zur Installation der Patches und zur Überwachung auf Kompromittierungszeichen. ## This story in other languages - [日本語](https://www.dataloco.com/ja/cisco-sd-wan) - [한국어](https://www.dataloco.com/ko/cisco-sd-wan) - [हिन्दी](https://www.dataloco.com/hi/saibra-aparathhaya-na-sasaka-ka-gabhara-sarakashha-thashha-ka-upayaga-karaka-enakarapashana-ka-kajaya-carana-ka-le-malvayara-lgaii) - [Türkçe](https://www.dataloco.com/tr/saldirganlar-sifreleme-anahtarlarini-calmak-icin-cisco-sd-wan-acigini-kullandi) - [Русский](https://www.dataloco.com/ru/xakery-ispolzovali-uiazvimost-cisco-sd-wan-dlia-ustanovki-vredonosnogo-po-dlia-krazi-kliucei-sifrovaniia) - [עברית](https://www.dataloco.com/he/cisco-sd-wan-2) - [العربية](https://www.dataloco.com/ar/mkhtrkon-astghloa-thghr-fy-cisco-sd-wan-lzraa-brmgyat-khbyth-tsrk-mfatyh-altshfyr) - [Indonesia](https://www.dataloco.com/id/peretas-manfaatkan-celah-cisco-sd-wan-untuk-menanam-perangkat-lunak-berbahaya-pencuri-kunci-enkripsi) - [ไทย](https://www.dataloco.com/th/cisco-sd-wan) - [Español](https://www.dataloco.com/es/piratas-informaticos-aprovecharon-un-fallo-de-cisco-sd-wan-para-implantar-malware-que-roba-claves-de-cifrado) - [Italiano](https://www.dataloco.com/it/hacker-sfruttano-una-falla-di-cisco-sd-wan-per-installare-malware-volto-al-furto-di-chiavi-di-crittografia) - [Nederlands](https://www.dataloco.com/nl/hackers-gebruikten-cisco-sd-wan-lek-om-malware-voor-encryptiesleutels-te-plaatsen) - [Svenska](https://www.dataloco.com/sv/hackare-utnyttjade-kritisk-sarbarhet-i-cisco-sd-wan-for-att-stjala-krypteringsnycklar)