Hackers gebruikten Cisco SD-WAN lek om malware voor encryptiesleutels te plaatsen

a close up of a padlock on a door — Kaffeebart / Unsplash

Hackers hebben een kritiek lek in Cisco Catalyst SD-WAN misbruikt om aangepaste malware te plaatsen in de systemen die het SD-WAN netwerk van een organisatie beheren.

De malware, genaamd KeyDrift, is ontworpen om de sleutels te kopiëren die het verkeer tussen locaties versleutelen en deze op te slaan voor later gebruik. Cisco Talos meldde op 28 oktober dat deze aanvallen historisch zijn, maar specificeerde niet wanneer ze plaatsvonden of dat er sleutels zijn verzonden.

Het lek, getrackt als CVE-2026-20127 met een CVSS score van 10.0, stelt een niet-geauthentiseerde externe aanvaller in staat om authenticatie te omzeilen en beheerdersrechten te verkrijgen op de controlesystemen. Op een Controller kan de aanvaller inloggen als een intern account met hoge privileges, hoewel dit geen root account is.

Een onderdeel van KeyDrift, genaamd LittleFilch, koppelt zich aan vdaemon op een gecompromitteerde Controller om controleberichten te lezen nadat ze zijn ontsleuteld. Het haalt IP-adressen en een veld van 32 bytes op voor een vooraf ingestelde lijst van edge routers, wat volgens Talos het AES-256 sleutelmateriaal is. LittleFilch versleutelt deze gegevens met RSA en schrijft ze naar een bestand, waarna ze via UDP naar een adres in een instellingenbestand kunnen worden verzonden.

De groep achter KeyDrift, door Talos aangeduid als UAT-11473, richtte zich op defensie, lucht- en ruimtevaarttechnologie, satellietdiensten en beleidsonderzoek. Talos stelt met hoge zekerheid vast dat de infrastructuur van deze groep aanzienlijk overlapt met Silent Train. Lumen meldt dat Volt Typhoon, door CISA, de NSA en de FBI in 2024 geïdentificeerd als een door China gesponsorde cybergroep, dit netwerk gebruikte om activiteiten te verbergen.

PolyFlame, de hoofdmodule van KeyDrift, draait in het geheugen van vdaemon en kan fungeren als een backdoor voor commando's of als een relais. De malware start voornamelijk via gewijzigde runit scripts. Op een gecompromitteerde Validator draait een vervalste aaamgr service een loader die PolyFlame ontsleutelt en uitvoert.

Het lek beïnvloedt de Catalyst SD-WAN Controller, Manager en Validator, ongeacht de configuratie. Dit geldt voor systemen op locatie en cloud implementaties van Cisco, inclusief de Managed en FedRAMP omgevingen. Cisco meldde dat het op de hoogte is van beperkte exploitatie van het lek.

Er is geen workaround beschikbaar. Cisco adviseerde organisaties om fixes te installeren en de hardening gids te volgen. Klanten op locatie kunnen toegang tot poorten 22 en 830 beperken tot bekende IP-adressen, hoewel dit malware die al aanwezig is niet verwijdert. Cisco waarschuwde in februari dat er exploits in place kunnen blijven na een upgrade.