האקרים ניצלו פגם במוצרי Cisco SD-WAN כדי להשתיל נוזקה לגניבת מפתחות הצפנה

Linkedin sign in page with email and password fields — Zulfugar Karimov / Unsplash

האקרים ניצלו פגם קריטי במוצרי Cisco Catalyst SD-WAN כדי להשתיל נוזקה מותאמת אישית בתוך המערכות השולטות ברשת ה-SD-WAN של ארגונים. הפגם, שתוקן בפברואר, אפשר לתוקפים מרחוק ללא אימות לעקוף את תהליכי האימות ולהשיג הרשאות ניהוליות במערכות הבקרה הללו.

הנוזקה, שנקראת KeyDrift, תוכננה להעתיק את המפתחות המשמשים להצפנת תעבורה בין אתרים ולאחסן אותם לשימוש מאוחר יותר. רכיב בשם LittleFilch בתוך הנוזקה מתחבר לתהליך בשם vdaemon וקורא הודעות בקרה לאחר פענוחן, שם הוא שולף כתובות איפי וחומר מפתחות מסוג AES-256. המידע שנאסף מוצפן באמצעות RSA ונכתב לקובץ, וממנו הוא עשוי להישלח ב-UDP לכתובת המוגדרת בקובץ הגדרות.

הפגם מזוהה כ-CVE-2026-20127 וקיבל ציון חומרה של 10.0. הוא משפיע על רכיבי ה-Controller, ה-Manager וה-Validator של Catalyst SD-WAN, ללא קשר להגדרתם. הפגם משפיע על מערכות המותקנות באתר הלקוח וכן על פריסות ענן מארח של Cisco, כולל סביבות FedRAMP ו-Cisco Managed.

הקבוצה שעומדת מאחורי KeyDrift, המכונה UAT-11473, התמקדה בשירותי חלל ולוויינים, טכנולוגיית הגנה ותעופה ומחקרי מדיניות. Cisco Talos מעריכה כי התשתית של קבוצה זו חופפת במידה ניכרת לתשתית של קבוצה בשם Silent Train. קבוצה זו, לפי Lumen, שימשה את Volt Typhoon, קבוצת סייבר בחסות סין לפי CISA, ה-NSA וה-FBI, כדי להסוות את פעילותה.

הנוזקה פועלת בעיקר באמצעות סקריפטים ששונהם, כאשר כלי בשם rsshd מזריק מודול מרכזי בשם PolyFlame לתוך תהליכי vdaemon. PolyFlame פועל בזיכרון ויכול לשמש כדלת אחורית להרצת פקודות, קריאה וכתיבה של קבצים, או כממסר המעביר פקודות בין שרת פקודות למכונות אחרות. בנוסף, נמצאו סימנים לשינוי חותמות זמן של קבצים כדי להסוות את פעילות התוקפים.

Cisco מסרה כי היא מודעת לניצול מוגבל של הפגם. אין פתרון זמני, וההמלצה היא לשדרג לגרסאות מתוקנות. לקוחות המשתמשים במערכות באתר יכולים להגביל גישה לפורטים 22 ו-830 לכתובות איפי מוכרות, אך צעד זה אינו מסיר נוזקה שכבר הותקנה על המכשיר. Cisco Talos ממליצה לארגונים להתקין את התיקונים, לעקוב אחר סימני פריצה ולפנות למרכז הסיוע הטכני של Cisco במידת הצורך.