KeyDrift похищает ключи шифрования через критический баг Cisco SD-WAN
Cisco Talos сообщила о вредоносном ПО KeyDrift, которое злоумышленники установили через критическую уязвимость CVE-2026-20127 в Cisco Catalyst SD-WAN. Ошибка с оценкой CVSS 10,0 позволяет удалённому неаутентифицированному атакующему обойти проверку подлинности и получить административные права на компонентах управления сетью.
KeyDrift нацелен на ключевой материал AES-256, которым маршрутизаторы SD-WAN защищают трафик между площадками. Talos называет атаки историческими и не уточняет их даты, а также не располагает сведениями о передаче похищенных ключей за пределы скомпретированных систем.
Как KeyDrift получает ключевой материал
В традиционной схеме обмена ключами Cisco каждый маршрутизатор периодически создаёт AES-ключ и передаёт его Catalyst SD-WAN Controller, ранее называвшемуся vSmart. Контроллер распространяет эти ключи другим маршрутизаторам, а процесс vdaemon обслуживает защищённые управляющие соединения.
На скомпрометированном контроллере модуль LittleFilch внедряется в vdaemon и читает управляющие сообщения уже после расшифровки. Для заданного списка периферийных маршрутизаторов он извлекает IP-адреса и 32-байтное поле, которое Talos оценивает как материал ключа AES-256. Собранные данные шифруются RSA, записываются в файл и могут отправляться по UDP на адрес из конфигурационного файла, удаляемого после чтения.
Закрепление и возможности бэкдора
KeyDrift в основном запускается через изменённые скрипты runit. В одном из вариантов скрипт SSH-сервиса запускает загрузчик conf_sshd, который сохраняет идентификаторы процессов vdaemon. Инструмент rsshd затем внедряет основной модуль PolyFlame в эти процессы.
PolyFlame работает в памяти vdaemon, может выполнять команды, читать и записывать файлы, а также пересылать команды между управляющим сервером и другими системами. Образцы не содержали жёстко заданного адреса сервера и рассчитаны на получение команд внутри управляющего трафика SD-WAN.
На Validator, ранее vBond, исследователи нашли поддельную службу aaamgr и загрузчик aaamgrd. Talos также зафиксировала признаки timestomping: атакующие копировали временные метки и права существующих файлов на свои артефакты. Контекст подобных уязвимостей Cisco дополняет цепочки атак и связанные риски для защитных команд, где рассматриваются цепочки атак и связанные риски для защитных команд.
Что следует проверить администраторам
Уязвимость затрагивает Controller, Manager и Validator независимо от конфигурации, включая локальные развёртывания и облачные среды Cisco Managed и FedRAMP. Cisco указывает на ограниченную эксплуатацию и не предлагает обходного пути. Первые исправленные версии включают 20.9.8.2, 20.12.6.1, 20.15.4.2 и 20.18.2.1 для соответствующих веток.
До обновления локальным клиентам разрешено ограничить доступ к портам 22 и 830 известными IP-адресами контроллеров и других доверенных систем. Эта мера не удаляет уже установленное вредоносное ПО. Talos рекомендует установить исправления, применить руководство Cisco по усилению защиты Catalyst SD-WAN и искать изменённые скрипты, файлы conf_sshd, rsshd, libdssl.so, libcommon.so и записи в /var/tmp.
Для выявления эксплуатации Cisco советует проверить /var/log/auth.log на записи Accepted publickey for vmanage-admin с неизвестных IP-адресов и собрать данные командой request admin-tech на каждом компоненте управления. Практический вывод для бизнеса: обновление следует сочетать с проверкой компрометации и процедурой реагирования, поскольку само ограничение доступа или установка патча не гарантируют удаления закрепившегося KeyDrift.