Хакери са се възползвали от критична уязвимост в Cisco Catalyst SD-WAN, коригирана през февруари, за да инсталират специализиран зловреден софтуер в системите, управляващи SD-WAN мрежата на дадена организация.
Зловредният софтуер, наречен KeyDrift, е проектиран да копира ключовете, които криптират трафика между отделните локации, и да ги съхранява за последваща употреба, съобщиха от Cisco Talos на 28 октомври. От Talos определят атаките като исторически, но не уточняват кога са извършени или дали са били изпратени извлечени ключове.
Уязвимостта се проследява като CVE-2026-20127 и има CVSS оценка 10.0. Тя позволява на неавтентифициран отдалечен атакуващ да заобиколи автентикацията и да получи администраторски привилегии върху тези системи за управление. В Controller атакуващият може да се впише с вътрешен акаунт с високи привилегии, който не е root.
Когато Cisco оповести уязвимостта през февруари, Talos проследяваше нейната експлоатация под името UAT-8616 — клъстер от дейности, който според компанията датира поне от 2023 г.
При традиционния обмен на ключове на Cisco всеки SD-WAN рутер периодично генерира AES ключ за своя трафик и го изпраща към Catalyst SD-WAN Controller (преди vSmart). Контролерът препраща ключовете към останалите рутери. Процес в контролера, наречен vdaemon, управлява криптираните контролни връзки, пренасящи тези ключове.
В компрометиран Controller компонент на KeyDrift, наречен LittleFilch, се прихваща към vdaemon и чете контролните съобщения, след като те бъдат декриптирани. За предварително зададен списък от крайни рутери той извлича техните IP адреси и поле от 32 байта. Според оценката на Talos това поле представлява AES-256 ключовият материал, който контролерът обменя между рутерите.
LittleFilch криптира събраните данни с RSA и ги записва във файл. След това той може да изпрати тези данни чрез UDP до адрес, посочен в конфигурационен файл, който изтрива след прочитане. От Talos не са успели да възстановят този конфигурационен файл.
Групата зад KeyDrift, която Talos проследява като UAT-11473, е атакувала космически и сателитни услуги, отбранителни и аерокосмически технологии, както и организации за стратегически анализи и политики.
Инфраструктурата на групата „съвпада значително“ със Silent Train, оценява Talos с висока степен на увереност. Silent Train е наименованието, което лабораторията Black Lotus Labs на Lumen използва за мрежа от хакнати малки офисни, домашни (SOHO), IoT и корпоративни устройства.
От Lumen заявяват, че Volt Typhoon е използвала мрежата, за да прикрива дейността си. CISA, NSA и FBI обявиха през 2024 г., че Volt Typhoon е китайска държавно спонсорирана кибергрупа.
Talos свързва UAT-11473 с Volt Typhoon единствено въз основа на съвпадението в инфраструктурата. Не се твърди, че двете групи са едно и също звено, нито как UAT-11473 се отнася към UAT-8616 — клъстера, докладван през февруари.
Отделно, от Lumen заявиха на 28 октомври, че Volt Typhoon е експлоатирала CVE-2026-20127 към края на 2025 г. и е продължила експлоатацията дори след като Cisco оповести уязвимостта през февруари. Lumen не обвързва тази дейност директно с KeyDrift.
KeyDrift стартира предимно чрез модифицирани runit скриптове, които устройствата на Cisco SD-WAN използват за пускане на своите услуги, според Talos. В една от версиите скриптът за услугата SSH стартира зареждащ скрипт (loader), conf_sshd, преди реалния SSH сървър. Скриптът conf_sshd записва идентификаторите на процесите (PID) на vdaemon във файл, а инструмент на име rsshd инжектира основния модул на KeyDrift, PolyFlame, във всеки от тези процеси.
PolyFlame се изпълнява в паметта в рамките на vdaemon. Той може да действа като задна врата от тип TinyShell, която изпълнява команди и чете и пише файлове, или като релеен модул (relay), който препраща команди между командния сървър и други машини. Изграден е да приема команди в рамките на SD-WAN контролния трафик, а анализираните образци не съдържат твърдо кодиран адрес на сървър.
В компрометиран Validator (преди vBond) фалшива услуга aaamgr под /etc/sv/aaamgr/ изпълнява пакетиран лоудър, aaamgrd, който декриптира и стартира PolyFlame. Истинският компонент aaamgr на Cisco е Python пакет и нормално не се изпълнява като компилирана услуга.
Налице са и признаци за манипулиране на времеви отпечатъци (timestomping): изпълняваните от групата команди са копирали времевите отпечатъци и правата за достъп на съществуващи файлове върху нейните собствени файлове.
Засегнати версии и корекции
CVE-2026-20127 засяга Catalyst SD-WAN Controller (преди vSmart), Manager (преди vManage) и Validator (преди vBond), независимо от тяхната конфигурация. Засегнати са локалните (on-premises) инсталации, както и облачните SD-WAN внедрявания, хоствани от Cisco, включително средите Cisco Managed и FedRAMP. Cisco добави Validator към бюлетина си на 16 юни.
Cisco заявява, че е запозната с ограничена експлоатация на уязвимостта. Няма заобиколно решение (workaround), а първите коригирани версии са:
| Серия версии | Първа коригирана версия |
|---|---|
| По-ранни от 20.9 | Мигриране към коригирана версия |
| 20.9 | 20.9.8.2 |
| 20.11 | 20.12.6.1 |
| 20.12 | 20.12.5.3 or 20.12.6.1 |
| 20.13 | 20.15.4.2 |
| 20.14 | 20.15.4.2 |
| 20.15 | 20.15.4.2 |
| 20.16 | 20.18.2.1 |
| 20.18 | 20.18.2.1 |
Версиите, по-ранни от 20.9, както и сериите 20.11, 20.13, 20.14 и 20.16, са достигнали край на софтуерната поддръжка.
Докато успеят да обновят системите си, клиентите с локални инсталации могат да ограничат достъпа до портове 22 и 830 само до IP адресите на известни контролери и други легитимни системи. Cisco посочва, че тази стъпка е сработила в тестова среда, но клиентите трябва да проверят доколко ефективно функционира тя в техните собствени мрежи. Такива защитни механизми вече са въведени за облачните SD-WAN среди, хоствани от Cisco.
Блокирането на портовете обаче не премахва зловреден софтуер, който вече е наличен на устройството.
Проверка за наличие на KeyDrift
Talos съветва организациите да инсталират корекциите за сигурност от Cisco, да спазват ръководството за повишаване на сигурността (hardening) на Catalyst SD-WAN и да следят за признаци на дейност след компрометиране. Всеки, който открие подобни признаци, трябва да стартира процедура по реагиране на инциденти и може да се обърне за съдействие към Центъра за техническа помощ (TAC) на Cisco.
Тези препоръки не уточняват дали обновяването премахва KeyDrift от вече компрометирано устройство, нито дали трябва да бъдат подменени криптографските ключове. Февруарското ръководство за отстраняване на уязвимостта от Cisco предупреждава, че може да има „съществуващи експлойти, които все още остават активни“ отпреди обновяването.
KeyDrift използва следните файлове и локации (някои от които са посочени само с имената си):
- Файл: скриптът
runподetc/sv/sshd/, модифициран да стартира conf_sshd - Директория:
/etc/sv/aaamgr/, фалшива услуга на компрометиран Validator - Файл:
aaamgrd, пакетираният лоудър - Файл:
conf_sshd, зареждащият скрипт - Файл:
rsshd, инжекторът - Файл:
libdssl.so, PolyFlame - Файл:
libcommon.so, LittleFilch - Файл:
/tmp/system-vdaemon, списъкът с идентификатори на процесите (PID) на vdaemon - Файл:
/var/tmp/vdaemon.bin, криптираните записи на LittleFilch - Файл:
/var/tmp/vdaemon.conf, настройките за изпращане на LittleFilch, изтривани след прочитане
Докладът на Talos не съдържа списък с файлови хешове, IP адреси или домейни за KeyDrift.
На 28 октомври Talos публикува Snort правила за засичане на входящи връзки за командване и контрол на KeyDrift: от 67387 до 67416 за Snort 2 и от 7:44 до 7:73 за Snort 3. Правила 65938 и 65958, които вече бяха налични, покриват самата уязвимост CVE-2026-20127.
За проверка за евентуална експлоатация на самата уязвимост Cisco препоръчва преглед на /var/log/auth.log за записи Accepted publickey for vmanage-admin от неизвестни IP адреси. Преди отваряне на тикет към TAC клиентите трябва да изпълнят request admin-tech на всеки компонент за управление. Ръководството за отстраняване препоръчва също тези admin-tech файлове да бъдат сканирани повторно чрез функцията Check Bug Applicability на страницата на инструмента за търсене на бъгове за проблем CSCws52722.
За федералните цивилни агенции на САЩ спешната директива на CISA от 25 февруари очертава действията в случай на установен пробив в root акаунта. Те са длъжни да докладват на CISA, да разгърнат напълно нови инстанции на Manager, Controller и Validator от коригирани системни образи и да мигрират своите крайни рутери към новите системи.