Hacker sfruttano una falla di Cisco SD-WAN per installare malware volto al furto di chiavi di crittografia

a bunch of keys that are on a hook — Ries Bosch / Unsplash

Degli hacker hanno sfruttato una falla critica di Cisco Catalyst SD-WAN, risolta a febbraio, per installare un malware personalizzato all'interno dei sistemi che controllano la rete SD-WAN di un'organizzazione.

Il malware, denominato KeyDrift, è progettato per copiare le chiavi che crittografano il traffico tra i siti e conservarle per un uso successivo, come dichiarato da Cisco Talos il 28 ottobre. Talos definisce gli attacchi come storici, ma non specifica quando siano avvenuti né se siano state inviate delle chiavi.

La vulnerabilità, identificata come CVE-2026-20127, ha un punteggio CVSS di 10.0. Essa consente a un utente remoto non autenticato di superare l'autenticazione e ottenere privilegi amministrativi sui sistemi di controllo. Su un Controller, l'attaccante può accedere come account interno ad alti privilegi, sebbene non come root.

Quando Cisco ha rivelato la falla a febbraio, Talos ne ha monitorato lo sfruttamento come UAT-8616, un gruppo di attività che risalirebbe almeno al 2023. Il gruppo dietro KeyDrift, monitorato da Talos come UAT-11473, ha preso di mira la ricerca politica, la tecnologia aerospaziale e della difesa, nonché i servizi spaziali e satellitari.

Talos valuta con alta fiducia che l'infrastruttura di UAT-11473 si sovrapponga considerevolmente a quella di Silent Train, una rete di dispositivi aziendali, IoT e domestici compromessi. Lumen riferisce che Volt Typhoon ha utilizzato tale rete per nascondere le proprie attività. CISA, NSA e FBI hanno dichiarato nel 2024 che Volt Typhoon è un gruppo informatico sponsorizzato dallo stato cinese. Talos collega UAT-11473 a Volt Typhoon solo tramite la sovrapposizione dell'infrastruttura, senza affermare che i due gruppi siano identici.

Tecnicamente, un componente di KeyDrift chiamato LittleFilch si aggancia a vdaemon su un Controller compromesso per leggere i messaggi di controllo dopo la decrittazione. Esso estrae indirizzi IP e un campo di 32 byte, valutato come materiale per chiavi AES-256, crittografandoli con RSA in un file. I dati possono poi essere inviati tramite UDP a un indirizzo specifico.

Un altro modulo, PolyFlame, opera in memoria all'interno di vdaemon e può fungere da backdoor per eseguire comandi o come relè. KeyDrift si avvia principalmente tramite script runit modificati. Su un Validator compromesso, un servizio falso chiamato aaamgr esegue un caricatore che avvia PolyFlame.

La falla CVE-2026-20127 interessa il Catalyst SD-WAN Controller, il Manager e il Validator, indipendentemente dalla configurazione. Sono colpiti sia i sistemi on-premises che le implementazioni cloud di Cisco, inclusi gli ambienti Managed e FedRAMP. Cisco ha confermato uno sfruttamento limitato della falla e ha rilasciato correzioni, poiché non esiste una soluzione alternativa. I clienti on-premises possono limitare l'accesso alle porte 22 e 830 agli indirizzi IP noti, sebbene ciò non rimuova il malware già presente.