Hackere utnytter sårbarhet i Cisco SD-WAN for å distribuere KeyDrift-skadevare

silver and black combination lock — Nicolas HIPPERT / Unsplash

En avansert vedvarende trusselgruppe kjent som UAT-11473 har utnyttet en sårbarhet for å distribuere et spesialtilpasset rammeverk for skadevare kalt KeyDrift. Angrepene var rettet mot Cisco Catalyst SD-WAN-kontrollere.

Sårbarheten, identifisert som CVE-2026-20127, er en feil knyttet til omgåelse av autentisering med maksimal alvorlighetsgrad. Den tillater fjernstyrte angripere å oppnå privilegert tilgang til Catalyst SD-WAN-kontrollere og ledere, samt å legge til uautoriserte partnere. Cisco utbedret denne feilen i februar 2026, men gruppen UAT-8616 har utnyttet sårbarheten som en nulldag siden minst 2023.

Forskere fra Cisco Talos har observert at angrepene var rettet mot organisasjoner innen forsvar og luftfartsteknologi, rom- og satellittjenester, samt organisasjoner for politisk forskning. Det er observert en overlapp mellom trusselgruppen UAT-11473 og det skjulte tilgangsnettverket Silent Train, som er knyttet til den kinesiske, statsstøttede hackergruppen Volt Typhoon. Lumen har rapportert at Silent Train-rammeverket har gjort det mulig for Volt Typhoon å unngå oppdagelse under nulldagsangrep.

KeyDrift-rammeverket er designet for å operere i Cisco SD-WAN-kontrollinstanser for å sikre langvarig tilgang og automatisert uthenting av sensitivt nøkkelmateriale. Skadevaren opererer i prosesser i kontrollplanet, hvor den kan fange opp dekryptert kontrolltrafikk og trekke ut metadata fra kontrollsesjoner og nøkkelmateriale fra dataplanet. Det innsamlede materialet blir deretter sendt videre ved bruk av krypterte poster.

Rammeverket består av to hovedkomponenter: PolyFlame og LittleFilch. PolyFlame kjører i legitime vdaemon-prosesser og støtter utførelse av kommandoer, opplasting og nedlasting av filer, samt kommunikasjon mellom en kommando og kontrollserver og flere partnere. LittleFilch fungerer som en modul for avskjæring av kontrollsesjoner som inspiserer meldinger etter at de er dekryptert. Den trekker ut IP-identifikatorer og et felt på 32 byte, som vurderes å være AES-256 IPsec-nøkkelmateriale. Denne informasjonen beskyttes med RSA-kryptering, lagres lokalt, og sendes deretter over UDP til angriperne.

Cisco anbefaler at systemadministratorer installerer tilgjengelige sikkerhetsoppdateringer for CVE-2026-20127 og følger leverandørens veiledning for herding av Catalyst SD-WAN-distribusjoner.