Хакеры использовали критическую уязвимость Cisco Catalyst SD-WAN, устраненную в феврале, для внедрения в системы управления сетью SD-WAN организации пользовательского вредоносного ПО. Вредоносная программа под названием KeyDrift предназначена для копирования ключей, шифрующих трафик между узлами, и их сохранения для последующего использования, как сообщила 28 октября компания Cisco Talos. Talos называет атаки историческими, но не уточняет, когда они произошли и были ли отправлены какие-либо ключи.
Уязвимость отслеживается как CVE-2026-20127 и имеет оценку CVSS 10.0. Она позволяет неаутентифицированному удаленному злоумышленнику обойти аутентификацию и получить административные привилегии в этих системах управления. На контроллере злоумышленник может войти под учетной записью с высокими привилегиями, не являющейся root.
Когда Cisco обнаружила уязвимость в феврале, Talos отслеживала ее использование под кодом UAT-8616, кластер активности, который, по их словам, существовал как минимум с 2023 года.
В традиционном обмене ключами Cisco каждый маршрутизатор SD-WAN периодически генерирует ключ AES для своего трафика и отправляет его контроллеру Catalyst SD-WAN (ранее vSmart). Контроллер передает ключи другим маршрутизаторам. Процесс на контроллере под названием vdaemon управляет зашифрованными соединениями управления, которые передают эти ключи.
На скомпрометированном контроллере компонент KeyDrift под названием LittleFilch подключается к vdaemon и считывает сообщения управления после их расшифровки. Для заданного списка граничных маршрутизаторов он извлекает их IP-адреса и 32-байтовое поле. Talos предполагает, что это поле содержит материал ключа AES-256, который контроллер передает между маршрутизаторами.
LittleFilch шифрует собранные данные с помощью RSA и записывает их в файл. Затем он может отправить эти данные через UDP на адрес, указанный в файле настроек, который он удаляет после чтения. Talos не удалось восстановить этот файл настроек.
Группа, стоящая за KeyDrift, которую Talos отслеживает как UAT-11473, нацеливалась на космические и спутниковые услуги, оборонные и аэрокосмические технологии, а также на политические исследования.
Инфраструктура группы «значительно пересекается» с Silent Train, как с высокой уверенностью оценивает Talos. Silent Train — это название, которое Black Lotus Labs от Lumen использует для сети взломанных устройств малого офиса, домашнего офиса, IoT и корпоративных устройств.
Lumen утверждает, что Volt Typhoon использовала эту сеть для сокрытия своей деятельности. CISA, NSA и ФБР заявили в 2024 году, что Volt Typhoon — это спонсируемая китайским государством кибергруппа.
Talos связывает UAT-11473 с Volt Typhoon только через совпадение инфраструктуры. Они не утверждают, что это одна и та же группа, или как UAT-11473 связана с UAT-8616, кластером, о котором сообщалось в феврале.
Отдельно Lumen заявила 28 октября, что Volt Typhoon использовала CVE-2026-20127 к концу 2025 года и продолжала использовать ее после того, как Cisco раскрыла уязвимость в феврале. Lumen не связывает эту деятельность с KeyDrift.
По данным Talos, KeyDrift в основном запускается через модифицированные скрипты runit, которые устройства Cisco SD-WAN используют для запуска своих служб. В одной из версий скрипт для службы SSH запускает загрузочный скрипт conf_sshd перед настоящим SSH-сервером. Скрипт conf_sshd записывает идентификаторы процессов vdaemon в файл, а инструмент под названием rsshd внедряет основной модуль KeyDrift, PolyFlame, в каждый из этих процессов.
PolyFlame работает в памяти внутри vdaemon. Он может действовать как бэкдор типа TinyShell, который выполняет команды, читает и записывает файлы, или как ретранслятор, который перенаправляет команды между своим командным сервером и другими машинами. Он разработан для приема команд в трафике управления SD-WAN, а проанализированные образцы не содержали жестко закодированного адреса сервера.
На скомпрометированном Validator (ранее vBond) поддельная служба aaamgr в /etc/sv/aaamgr/ запускает упакованный загрузчик aaamgrd, который расшифровывает и запускает PolyFlame. Реальный компонент aaamgr от Cisco представляет собой пакет Python и обычно не работает как скомпилированная служба.
Также есть признаки timestomping: команды, которые запускала группа, копировали временные метки и разрешения существующих файлов на свои собственные файлы.
CVE-2026-20127 затрагивает контроллер Catalyst SD-WAN (ранее vSmart), менеджер (ранее vManage) и валидатор (ранее vBond) независимо от их конфигурации. Затронуты как локальные системы, так и облачные развертывания Cisco SD-WAN, включая среды Cisco Managed и FedRAMP. Cisco добавила Validator в свою консультацию 16 июня.
Cisco заявляет, что осведомлена об ограниченной эксплуатации уязвимости. Обходных путей нет, и первые исправленные версии:
Версии ранее 20.9, а также ветки 20.11, 20.13, 20.14 и 20.16 достигли конца срока поддержки программного обеспечения.
До возможности обновления локальные клиенты могут ограничить доступ к портам 22 и 830 для IP-адресов известных контроллеров и других известных систем. Cisco заявляет, что этот шаг сработал в тестовой среде, но клиенты должны проверить, насколько хорошо он работает в их собственных сетях. Такие ограничения уже действуют для облачных развертываний Cisco SD-WAN.
Блокировка портов не удаляет вредоносное ПО, уже находящееся на устройстве.
Talos рекомендует организациям установить исправления Cisco, следовать руководству по усилению безопасности Catalyst SD-WAN от Cisco и следить за признаками посткомпромиссной активности. Любой, кто обнаружит такие признаки, должен начать реагирование на инцидент и может обратиться за помощью в Центр технической поддержки Cisco (TAC).
В этой рекомендации не указано, удаляет ли обновление KeyDrift с устройства, которое уже было скомпрометировано, или следует ли заменять какие-либо ключи. В февральском руководстве по устранению последствий Cisco для этой уязвимости предупреждается, что до обновления могут существовать «существующие эксплойты, которые все еще активны».
KeyDrift использует следующие файлы и расположения, некоторые указаны только по имени:
В отчете Talos нет списка хэшей файлов, IP-адресов или доменов для KeyDrift.
28 октября Talos выпустила правила Snort, которые обнаруживают входящие соединения командно-контрольной связи KeyDrift: 67387–67416 для Snort 2 и 7:44–7:73 для Snort 3. Правила 65938 и 65958, уже доступные, охватывают саму CVE-2026-20127.
Обновление правил от 28 октября перечисляет правила Snort 2 как отключенные по умолчанию, поэтому пользователи платного набора правил Snort Subscriber должны включить их. Правила Snort 3 появляются без состояния по умолчанию.
Для проверки эксплуатации самой уязвимости Cisco рекомендует искать в /var/log/auth.log записи Accepted publickey for vmanage-admin с неизвестных IP-адресов. Перед открытием обращения в TAC клиенты должны выполнить request admin-tech на каждом компоненте управления. Руководство по устранению последствий также рекомендует повторно сканировать эти файлы admin-tech с помощью функции Check Bug Applicability на странице Bug Search Tool для ошибки CSCws52722.
Для федеральных гражданских агентств США директива CISA от 25 февраля устанавливает порядок действий при обнаружении компрометации учетной записи root. Они должны сообщить об этом в CISA, развернуть новые экземпляры Manager, Controller и Validator из исправленных образов и перенести свои граничные маршрутизаторы на новые системы.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
