Saldırganlar Şifreleme Anahtarlarını Çalmak İçin Cisco SD-WAN Açığını Kullandı

a person holding a phone — Onur Binay / Unsplash

Saldırganlar, Şubat ayında düzeltilen kritik bir Cisco Catalyst SD-WAN açığını kullanarak, bir kuruluşun SD-WAN ağını kontrol eden sistemlerin içine özel bir kötü amaçlı yazılım yerleştirdi.

Cisco Talos tarafından 28 Ekim tarihinde açıklanan KeyDrift adlı bu kötü amaçlı yazılım, siteler arasındaki trafiği şifreleyen anahtarları kopyalamak ve bunları daha sonra kullanmak üzere saklamak için tasarlandı. Talos, saldırıları geçmişe dönük olarak nitelendirdi ancak bu saldırıların ne zaman gerçekleştiğini veya herhangi bir anahtarın gönderilip gönderilmediğini belirtmedi.

CVE-2026-20127 olarak takip edilen ve 10.0 CVSS puanına sahip olan açık, kimliği doğrulanmamış bir uzak saldırganın kimlik doğrulamasını atlamasına ve kontrol sistemlerinde yönetici ayrıcalıkları elde etmesine olanak tanıyor. Saldırgan, bir Denetleyici üzerinde, kök kullanıcı olmayan ancak yüksek ayrıcalıklara sahip dahili bir hesapla giriş yapabiliyor.

KeyDrift'in arkasındaki ve Talos tarafından UAT-11473 olarak takip edilen grup; savunma, havacılık teknolojisi, uzay, uydu hizmetleri ve politika araştırmalarını hedef aldı. Talos, UAT-11473 grubunun altyapısının Silent Train ile önemli ölçüde örtüştüğünü yüksek güvenle değerlendiriyor. Silent Train, Lumen'in Black Lotus Labs birimi tarafından kullanılan, hacklenmiş küçük ofis, ev ofis, nesnelerin interneti ve işletme cihazlarından oluşan bir ağın adıdır. Lumen, Volt Typhoon grubunun faaliyetlerini gizlemek için bu ağı kullandığını belirtiyor. CISA, NSA ve FBI, 2024 yılında Volt Typhoon'un Çin devlet destekli bir siber grup olduğunu açıkladı. Talos, UAT-11473 grubunu Volt Typhoon ile yalnızca altyapı örtüşmesi üzerinden ilişkilendiriyor.

Kötü amaçlı yazılım, PolyFlame adlı ana modülünü vdaemon süreçlerine enjekte eden rsshd adlı bir araç ve conf_sshd adlı bir yükleyici betik aracılığıyla çalışıyor. PolyFlame, bellek içinde çalışarak komutları yürüten, dosyaları okuyup yazan bir arka kapı veya komut sunucusu ile diğer makineler arasında komutları ileten bir aktarıcı olarak görev yapabiliyor. Ayrıca, grubun çalıştırdığı komutların, mevcut dosyaların zaman damgalarını ve izinlerini kendi dosyalarına kopyaladığına dair zaman damgası manipülasyonu belirtileri bulunuyor.

Söz konusu açık; yapılandırmasından bağımsız olarak Catalyst SD-WAN Denetleyici, Yönetici ve Doğrulayıcı sistemlerini etkiliyor. Yerinde sistemlerin yanı sıra, Cisco Managed ve FedRAMP ortamları dahil olmak üzere Cisco'nun barındırılan SD-WAN bulut dağıtımları da etkilenmiş durumda. Cisco, açığın sınırlı düzeyde istismar edildiğinin farkında olduğunu belirtti. Güncelleme yapana kadar yerinde müşteriler, 22 ve 830 numaralı portlara erişimi yalnızca bilinen denetleyicilerin ve diğer sistemlerin IP adresleriyle sınırlayabilir, ancak bu işlem cihazdaki mevcut kötü amaçlı yazılımı kaldırmıyor.