KeyDrift cilja ključeve u Cisco Catalyst SD-WAN okruženjima
Cisco Talos je otkrio da su napadači iskoristili kritičnu ranjivost CVE-2026-20127, sa CVSS ocenom 10,0, za postavljanje malvera KeyDrift na Cisco Catalyst SD-WAN Controller, Manager i Validator sistemima. Malver je dizajniran da preuzme materijal AES-256 ključeva kojima se šifruje saobraćaj između SD-WAN lokacija.
Zaobilaženje prijave otvara put do kontrolne ravni
Propust omogućava neautentifikovanom udaljenom napadaču da zaobiđe autentifikaciju i stekne administrativne privilegije na kontrolnim sistemima. Na Controller uređaju napadač može da se prijavi kao interni nalog sa visokim privilegijama, iako taj nalog nije root.
Cisco je ranjivost objavio u februaru, a Talos je eksploataciju tada pratio pod oznakom UAT-8616, uz podatak da aktivnost seže najmanje do 2023. godine. Cisco navodi ograničenu eksploataciju, dok je Lumen saopštio da je Volt Typhoon iskorišćavao CVE-2026-20127 do kraja 2025. i nastavio nakon objave propusta.
Talos grupu koja koristi KeyDrift prati kao UAT-11473. Njena infrastruktura se, uz visoku pouzdanost procene, znatno preklapa sa mrežom Silent Train. Ta veza ne znači da su UAT-11473 i Volt Typhoon ista grupa, niti Talos navodi odnos između UAT-11473 i ranije praćene aktivnosti UAT-8616.
Kako KeyDrift prikuplja ključeve
U tradicionalnoj Cisco razmeni ključeva SD-WAN ruter periodično generiše AES ključ za sopstveni saobraćaj i šalje ga Controller sistemu, koji ga prosleđuje drugim ruterima. Proces vdaemon na Controller uređaju održava šifrovane kontrolne veze preko kojih se ti ključevi prenose.
Komponenta LittleFilch se zakači za vdaemon i čita kontrolne poruke nakon dešifrovanja. Za unapred definisane edge rutere izdvaja IP adrese i polje od 32 bajta, koje Talos ocenjuje kao AES-256 materijal ključa. Zatim podatke šifruje RSA algoritmom, upisuje ih u datoteku i može da ih pošalje UDP-om na adresu iz konfiguracione datoteke koja se briše po čitanju.
Glavni modul PolyFlame radi u memoriji procesa vdaemon. Može da prima komande kroz SD-WAN kontrolni saobraćaj, izvršava naredbe, čita i upisuje datoteke ili prosleđuje komande drugim sistemima. Talos je uočio i izmenjene runit skripte, lažni aaamgr servis na Validator uređajima i postupke kojima su menjani vremenski pečati i dozvole fajlova.
Nadogradnja i istraga kompromitacije
Ranjivi su lokalno instalirani sistemi i Cisco hostovane SD-WAN cloud implementacije, uključujući Cisco Managed i FedRAMP okruženja. Nema zaobilaznog rešenja. Za verzije pre 20.9 Cisco preporučuje prelazak na podržano ispravljeno izdanje; između ostalog, ispravke su dostupne u verzijama 20.9.8.2, 20.12.6.1, 20.15.4.2 i 20.18.2.1, zavisno od izdanja.
Dok ne izvrše nadogradnju, lokalni korisnici mogu da ograniče pristup portovima 22 i 830 na poznate IP adrese kontrolera i drugih poznatih sistema. Cisco navodi da je mera uspela u testnom okruženju, ali da svaka organizacija treba da proveri njen uticaj u sopstvenoj mreži. Ona ne uklanja malver sa već kompromitovanog uređaja.
Za istragu treba proveriti izmene skripte u etc/sv/sshd/, direktorijum /etc/sv/aaamgr/, datoteke conf_sshd, rsshd, libdssl.so i libcommon.so, kao i zapise /tmp/system-vdaemon i /var/tmp/vdaemon.bin. U datoteci /var/log/auth.log potrebno je potražiti unose „Accepted publickey for vmanage-admin” sa nepoznatih IP adresa.
Talos je objavio Snort pravila 67387–67416 za Snort 2 i 7:44–7:73 za Snort 3 za otkrivanje dolaznih KeyDrift komandno-kontrolnih veza, dok pravila 65938 i 65958 pokrivaju sam propust. Povezanost sa kritične mrežne ranjivosti i pokazateljima postkompromitacione aktivnosti dodatno naglašava potrebu da se kritične mrežne ranjivosti prate zajedno sa pokazateljima postkompromitacione aktivnosti.
Praktičan poslovni zaključak je da timovi treba bez odlaganja da primene dostupne Cisco ispravke, zatim odvojeno provere tragove KeyDrift-a i pokrenu odgovor na incident ako ih pronađu, jer sama nadogradnja ne garantuje uklanjanje već postavljenog malvera.