보안 · 2026년 11월 1일
다른 언어로도 게시됨 日本語
해커들이 Cisco SD-WAN 취약점 악용해 암호화 키 탈취용 악성코드 심어
해커들이 지난 2월에 수정된 Cisco Catalyst SD-WAN의 심각한 취약점을 악용하여 조직의 SD-WAN 네트워크를 제어하는 시스템 내부에 맞춤형 악성코드를 심었습니다.
Cisco Talos는 10월 28일, KeyDrift라고 불리는 이 악성코드가 사이트 간 트래픽을 암호화하는 키를 복사하여 나중에 사용하기 위해 저장하도록 설계되었다고 밝혔습니다. Talos는 이러한 공격을 과거의 사건으로 규정했으나, 공격이 정확히 언제 발생했는지 또는 실제로 키가 전송되었는지 여부는 명시하지 않았습니다.
CVE-2026-20127로 추적되는 이 취약점은 CVSS 점수 10.0점을 기록했습니다. 인증되지 않은 원격 공격자가 인증을 우회하여 제어 시스템의 관리자 권한을 획득할 수 있게 하며, 공격자는 루트가 아닌 높은 권한을 가진 내부 계정으로 컨트롤러에 로그인할 수 있습니다.
KeyDrift의 구성 요소인 LittleFilch는 컨트롤러의 vdaemon 프로세스에 연결되어 복호화된 제어 메시지를 읽습니다. 이 도구는 미리 설정된 엣지 라우터 목록에서 IP 주소와 32바이트 필드를 추출하며, Talos는 이 필드를 라우터 간에 전달되는 AES-256 키 자료로 평가합니다. 수집된 데이터는 RSA로 암호화되어 파일로 저장된 후 UDP를 통해 설정 파일에 기재된 주소로 전송될 수 있습니다.
PolyFlame이라는 메인 모듈은 vdaemon 내부 메모리에서 실행되며, 명령을 실행하고 파일을 읽고 쓰는 백도어 역할이나 명령 서버와 다른 기기 사이의 릴레이 역할을 수행합니다. 이 모듈은 SD-WAN 제어 트래픽 내에서 명령을 수신하도록 구축되었습니다.
UAT-11473로 추적되는 이 공격 그룹은 우주 및 위성 서비스, 국방 및 항공우주 기술, 정책 연구 분야를 표적으로 삼았습니다. Talos는 이들의 인프라가 Silent Train과 상당히 겹친다고 분석했습니다. Lumen의 Black Lotus Labs는 Silent Train을 해킹된 소규모 사무실, 홈 오피스, 사물인터넷 및 비즈니스 장치 네트워크의 이름으로 사용합니다.
Lumen은 Volt Typhoon이 이 네트워크를 사용하여 활동을 숨겼다고 밝혔으며, CISA, NSA, FBI는 2024년에 Volt Typhoon을 중국 국가 후원 사이버 그룹으로 규정했습니다. Talos는 인프라 중첩을 통해 UAT-11473을 Volt Typhoon과 연결했지만, 두 그룹이 동일한지 여부는 밝히지 않았습니다.
이 취약점은 구성과 관계없이 Catalyst SD-WAN 컨트롤러, 매니저, 밸리데이터에 영향을 미칩니다. 온프레미스 시스템뿐만 아니라 Cisco Managed 및 FedRAMP 환경을 포함한 Cisco의 호스팅 SD-WAN 클라우드 배포 환경도 영향을 받습니다. Cisco는 제한적인 취약점 악용 사례를 인지하고 있으며, 해결책으로 소프트웨어 업데이트를 권고했습니다.