Безопасность · 1 ноября 2026 г.
Также опубликовано на 日本語, 한국어, हिन्दी, Türkçe, עברית, العربية, Indonesia, ไทย, Deutsch, Español, Italiano, Nederlands, Svenska
Хакеры использовали уязвимость Cisco SD-WAN для установки вредоносного ПО для кражи ключей шифрования
Злоумышленники воспользовались критической уязвимостью в Cisco Catalyst SD-WAN, чтобы внедрить специализированное вредоносное программное обеспечение в системы управления сетями SD-WAN организаций. Данная проблема была исправлена в феврале.
Вредоносное ПО под названием KeyDrift предназначено для копирования ключей, которые шифруют трафик между площадками, и их сохранения для последующего использования. Cisco Talos сообщила об этом 28 октября, охарактеризовав атаки как исторические, однако не уточнила сроки их проведения и факт передачи каких-либо ключей.
Уязвимость CVE-2026-20127 имеет оценку CVSS 10.0. Она позволяет неавторизованному удаленному атакующему обойти аутентификацию и получить административные привилегии в системах управления. На контроллере злоумышленник может войти под внутренней учетной записью с высокими привилегиями, которая не является root.
Компонент LittleFilch в составе KeyDrift подключается к процессу vdaemon на скомпрометированном контроллере и считывает сообщения управления после их расшифровки. Он извлекает IP-адреса и 32-байтовое поле, которое, по оценке Talos, является материалом ключа AES-256. Собранные данные шифруются с помощью RSA и записываются в файл, который затем может быть отправлен по протоколу UDP на адрес из файла настроек.
Группа UAT-11473, стоящая за KeyDrift, атаковала космические и спутниковые службы, оборонные и аэрокосмические технологии, а также политические исследования. Talos с высокой уверенностью заявляет, что инфраструктура этой группы значительно пересекается с сетью Silent Train. Lumen сообщает, что сеть Silent Train использовалась группой Volt Typhoon для скрытия своей деятельности. CISA, NSA и FBI в 2024 году назвали Volt Typhoon китайской кибергруппой, спонсируемой государством.
По данным Lumen, Volt Typhoon эксплуатировала CVE-2026-20127 к концу 2025 года и продолжала это делать после раскрытия уязвимости в феврале, хотя Lumen не связывает эту активность с KeyDrift.
KeyDrift запускается преимущественно через модифицированные скрипты runit. В одной из версий скрипт службы SSH запускает загрузчик conf_sshd, который записывает идентификаторы процессов vdaemon в файл, после чего инструмент rsshd внедряет основной модуль PolyFlame в эти процессы. PolyFlame работает в памяти и может функционировать как бэкдор типа TinyShell для выполнения команд или как ретранслятор. На скомпрометированном валидаторе запускается поддельная служба aaamgr, которая расшифровывает и запускает PolyFlame.
Уязвимость затрагивает контроллер, менеджер и валидатор Catalyst SD-WAN независимо от конфигурации, включая локальные системы и облачные развертывания Cisco. Cisco подтвердила ограниченную эксплуатацию проблемы. Для устранения необходимо установить исправления, так как обходных путей не существует. Локальные клиенты могут временно ограничить доступ к портам 22 и 830, но это не удаляет уже установленное вредоносное ПО.