--- title: Хакеры использовали уязвимость Cisco SD-WAN для установки вредоносного ПО для кражи ключей шифрования url: https://www.dataloco.com/ru/xakery-ispolzovali-uiazvimost-cisco-sd-wan-dlia-ustanovki-vredonosnogo-po-dlia-krazi-kliucei-sifrovaniia published: 2026-11-01T07:22:16+00:00 language: ru section: Безопасность source: https://thehackernews.com/2026/10/hackers-exploited-cisco-sd-wan-flaw-to.html organizations: Cisco, Lumen, CISA, NSA, FBI publisher: Dataloco --- # Хакеры использовали уязвимость Cisco SD-WAN для установки вредоносного ПО для кражи ключей шифрования Злоумышленники воспользовались критической уязвимостью в Cisco Catalyst SD-WAN, чтобы внедрить специализированное вредоносное программное обеспечение в системы управления сетями SD-WAN организаций. Данная проблема была исправлена в феврале. Вредоносное ПО под названием KeyDrift предназначено для копирования ключей, которые шифруют трафик между площадками, и их сохранения для последующего использования. Cisco Talos сообщила об этом 28 октября, охарактеризовав атаки как исторические, однако не уточнила сроки их проведения и факт передачи каких-либо ключей. Уязвимость CVE-2026-20127 имеет оценку CVSS 10.0. Она позволяет неавторизованному удаленному атакующему обойти аутентификацию и получить административные привилегии в системах управления. На контроллере злоумышленник может войти под внутренней учетной записью с высокими привилегиями, которая не является root. Компонент LittleFilch в составе KeyDrift подключается к процессу vdaemon на скомпрометированном контроллере и считывает сообщения управления после их расшифровки. Он извлекает IP-адреса и 32-байтовое поле, которое, по оценке Talos, является материалом ключа AES-256. Собранные данные шифруются с помощью RSA и записываются в файл, который затем может быть отправлен по протоколу UDP на адрес из файла настроек. Группа UAT-11473, стоящая за KeyDrift, атаковала космические и спутниковые службы, оборонные и аэрокосмические технологии, а также политические исследования. Talos с высокой уверенностью заявляет, что инфраструктура этой группы значительно пересекается с сетью Silent Train. Lumen сообщает, что сеть Silent Train использовалась группой Volt Typhoon для скрытия своей деятельности. CISA, NSA и FBI в 2024 году назвали Volt Typhoon китайской кибергруппой, спонсируемой государством. По данным Lumen, Volt Typhoon эксплуатировала CVE-2026-20127 к концу 2025 года и продолжала это делать после раскрытия уязвимости в феврале, хотя Lumen не связывает эту активность с KeyDrift. KeyDrift запускается преимущественно через модифицированные скрипты runit. В одной из версий скрипт службы SSH запускает загрузчик conf_sshd, который записывает идентификаторы процессов vdaemon в файл, после чего инструмент rsshd внедряет основной модуль PolyFlame в эти процессы. PolyFlame работает в памяти и может функционировать как бэкдор типа TinyShell для выполнения команд или как ретранслятор. На скомпрометированном валидаторе запускается поддельная служба aaamgr, которая расшифровывает и запускает PolyFlame. Уязвимость затрагивает контроллер, менеджер и валидатор Catalyst SD-WAN независимо от конфигурации, включая локальные системы и облачные развертывания Cisco. Cisco подтвердила ограниченную эксплуатацию проблемы. Для устранения необходимо установить исправления, так как обходных путей не существует. Локальные клиенты могут временно ограничить доступ к портам 22 и 830, но это не удаляет уже установленное вредоносное ПО. ## This story in other languages - [日本語](https://www.dataloco.com/ja/cisco-sd-wan) - [한국어](https://www.dataloco.com/ko/cisco-sd-wan) - [हिन्दी](https://www.dataloco.com/hi/saibra-aparathhaya-na-sasaka-ka-gabhara-sarakashha-thashha-ka-upayaga-karaka-enakarapashana-ka-kajaya-carana-ka-le-malvayara-lgaii) - [Türkçe](https://www.dataloco.com/tr/saldirganlar-sifreleme-anahtarlarini-calmak-icin-cisco-sd-wan-acigini-kullandi) - [עברית](https://www.dataloco.com/he/cisco-sd-wan-2) - [العربية](https://www.dataloco.com/ar/mkhtrkon-astghloa-thghr-fy-cisco-sd-wan-lzraa-brmgyat-khbyth-tsrk-mfatyh-altshfyr) - [Indonesia](https://www.dataloco.com/id/peretas-manfaatkan-celah-cisco-sd-wan-untuk-menanam-perangkat-lunak-berbahaya-pencuri-kunci-enkripsi) - [ไทย](https://www.dataloco.com/th/cisco-sd-wan) - [Deutsch](https://www.dataloco.com/de/schadsoftware-keydrift-stiehlt-verschlusselungsschlussel-uber-cisco-schwachstelle) - [Español](https://www.dataloco.com/es/piratas-informaticos-aprovecharon-un-fallo-de-cisco-sd-wan-para-implantar-malware-que-roba-claves-de-cifrado) - [Italiano](https://www.dataloco.com/it/hacker-sfruttano-una-falla-di-cisco-sd-wan-per-installare-malware-volto-al-furto-di-chiavi-di-crittografia) - [Nederlands](https://www.dataloco.com/nl/hackers-gebruikten-cisco-sd-wan-lek-om-malware-voor-encryptiesleutels-te-plaatsen) - [Svenska](https://www.dataloco.com/sv/hackare-utnyttjade-kritisk-sarbarhet-i-cisco-sd-wan-for-att-stjala-krypteringsnycklar)