Hackare utnyttjade kritisk sårbarhet i Cisco SD-WAN för att stjäla krypteringsnycklar

brown wooden door with padlock — David Clode / Unsplash

Hackare utnyttjade en kritisk sårbarhet i Cisco Catalyst SD-WAN för att plantera skräddarsydd skadlig kod i systemen som styr en organisations SD-WAN-nätverk. Den skadliga koden, som kallas KeyDrift, är designad för att kopiera nycklarna som krypterar trafik mellan platser och lagra dem för senare användning, enligt Cisco Talos. Talos beskriver attackerna som historiska men specificerar inte när de inträffade eller om några nycklar faktiskt skickades ut.

Sårbarheten spåras som CVE-2026-20127 och har ett CVSS-betyg på 10,0. Den gör det möjligt för en oautentiserad fjärrangripare att kringgå autentisering och få administrativa rättigheter på dessa styrsystem. På en Controller kan angriparen logga in som ett internt konto med höga privilegier som inte är root. När Cisco avslöjade sårbarheten i februari spårade Talos dess utnyttjande som UAT-8616, en aktivitetskluster som enligt dem sträckte sig tillbaka till minst 2023.

I Ciscos traditionella nyckelutbyte genererar varje SD-WAN-router periodiskt en AES-nyckel för sin trafik och skickar den till Catalyst SD-WAN Controller. En process på Controller som kallas vdaemon kör de krypterade styrförbindelserna som bär dessa nycklar. På en komprometterad Controller hänger en KeyDrift-komponent som kallas LittleFilch sig vid vdaemon och läser stydbudskap efter att de har dekrypterats. LittleFilch krypterar det den samlar in med RSA och skriver det till en fil, som sedan kan skickas via UDP till en adress i en inställningsfil.

Gruppen bakom KeyDrift, som Talos spårar som UAT-11473, har riktat sig mot rymd- och satellitttjänster, försvars- och rymdteknik samt politisk forskning. Talos bedömer med hög konfidens att gruppens infrastruktur överlappar i hög grad med Silent Train, ett namn som Lumen Black Lotus Labs använder för ett nätverk av komprometterade enheter. Lumen säger att Volt Typhoon använde nätverket för att dölja sin aktivitet, och CISA, NSA och FBI sa 2024 att Volt Typhoon är en kinesiskt statligt sponsrad cybergrupp.

KeyDrift startar främst via modifierade runit-skript som Cisco SD-WAN-enheter använder för att starta sina tjänster. En komponent som kallas PolyFlame körs i minnet inuti vdaemon och kan fungera som en bakdörr som kör kommandon eller som en relä som vidarebefordrar kommandon. Sårbarheten påverkar Catalyst SD-WAN Controller, Manager och Validator, oavsett konfiguration, inklusive lokala system och Ciscos hostade molninstallationer. Cisco säger att det är medvetet om begränsat utnyttjande av sårbarheten och att det inte finns något arbete runt. De första korrigerade versionerna är tillgängliga, och kunder kan begränsa åtkomst till portarna 22 och 830 som tillfällig åtgärd.

Talos rekommenderar att organisationer installerar Ciscos korrigeringar, följer Ciscos guide för förstärkning av Catalyst SD-WAN och håller utkik efter tecken på aktivitet efter kompromettering. Talos publicerade Snort-regler den 28 oktober som letar efter inkommande KeyDrift-kommandokontrollförbindelser. Reglerna täcker specifika portintervall för Snort 2 och Snort 3, och separata regler finns redan för själva sårbarheten CVE-2026-20127.