Hakerzy wykorzystują lukę w Cisco SD-WAN do wdrożenia złośliwego oprogramowania KeyDrift

Coding code on multiple computer screens — Jakub Żerdzicki / Unsplash

Grupa zagrożeń zaawansowanych uporczywych, śledzona jako UAT-11473, wykorzystała lukę w uwierzytelnianiu CVE-2026-20127 w kontrolerach Cisco Catalyst SD-WAN. Działanie to miało na celu wdrożenie niestandardowego frameworka złośliwego oprogramowania o nazwie KeyDrift.

Luka CVE-2026-20127 jest błędem o maksymalnym stopniu krytyczności, który pozwala zdalnym napastnikom uzyskać uprzywilejowany dostęp do menedżera i kontrolera Catalyst SD-WAN oraz dodać nieuprawnionych partnerów. Firma Cisco udostępniła poprawkę do tego błędu w lutym 2026 roku. Grupa UAT-8616 wykorzystywała tę podatność jako lukę typu zero-day co najmniej od 2023 roku. Badania powiązały te działania z grupą hakerską Volt Typhoon, wspieraną przez państwo chińskie.

Ataki skierowane były przeciwko organizacjom zajmującym się badaniami nad polityką, technologią lotniczą i obronną oraz usługami kosmicznymi i satelitarnymi. Badacze z Cisco Talos oceniają z wysoką pewnością, że framework KeyDrift został zaprojektowany w celu zapewnienia długoterminowego, uporczywego dostępu oraz zautomatyzowanej eksfiltracji wrażliwych materiałów kluczy. Oprogramowanie to działa wewnątrz procesów płaszczyzny sterowania SD-WAN, co umożliwia przechwytywanie odszyfrowanego ruchu sterowania, wyodrębnianie metadanych sesji oraz materiałów kluczy płaszczyzny danych.

KeyDrift składa się z dwóch głównych komponentów: PolyFlame oraz LittleFilch. PolyFlame działa wewnątrz legalnych procesów vdaemon, wykorzystując zmodyfikowane skrypty uruchamiania usług i injektor. Wspiera on wykonywanie poleceń poprzez komponent w stylu TinyShell, przesyłanie plików oraz przekazywanie komunikacji między serwerem sterowania napastnika a wieloma partnerami. LittleFilch jest modułem przechwytywania sesji sterowania, który podczepia się pod funkcję SSL_read, aby sprawdzać wiadomości płaszczyzny sterowania po ich odszyfrowaniu. Dla określonych węzłów krawędziowych wyodrębnia on identyfikatory IP oraz 32 bajtowe pole, które według oceny Talos jest materiałem klucza płaszczyzny danych IPsec AES-256. Zebrane informacje są chronione szyfrowaniem RSA, zapisywane w pliku /var/tmp/vdaemon.bin, a następnie przesyłane do napastników przez protokół UDP.

Badacze z Cisco Talos zauważyli, że grupa UAT-11473 może pokrywać się z tajną siecią dostępu Silent Train należącą do Volt Typhoon, choć nie ustalono ostatecznych powiązań. Według raportu firmy Lumen, framework Silent Train pozwalał Volt Typhoon unikać wykrycia podczas ataków wykorzystujących luki zero-day. Cisco zaleca administratorom systemów zastosowanie dostępnych aktualizacji bezpieczeństwa dla CVE-2026-20127 oraz zapoznanie się z przewodnikiem utwardzania wdrożeń Catalyst SD-WAN.