Cisco SD-WAN: malware-ul KeyDrift fură chei de pe controlere

Pe ARX News am urmărit deja vulnerabilitatea CVE-2026-76504 din Cisco Catalyst SD-WAN Manager. Pe 28 octombrie 2026, Cisco Talos a descris un alt caz pe aceeași platformă, cu o vulnerabilitate diferită și mai veche, CVE-2026-20127: un grup pe care Talos îl numește UAT-11473 a exploatat-o pentru a instala pe controlerele SD-WAN KeyDrift, un framework de malware făcut să rămână mult timp în sistem și să sustragă materialul criptografic care protejează traficul dintre sedii.

Sursele acestui articol sunt trei publicații, dar textul The Hacker News nu a fost disponibil: detaliile provin de la SecurityWeek și BleepingComputer, care preiau analiza Talos. Acolo unde cele două diferă, o spunem.

Vulnerabilitatea: CVE-2026-20127

• Produs: componentele de tip controler din Cisco Catalyst SD-WAN; potrivit BleepingComputer, sunt afectate Controller și Manager.
• Gravitate: CVSS 10, maximul.
• Publicare și corecție: februarie 2026.
• Efect: potrivit SecurityWeek, un atacator de la distanță, fără credențiale, ocolește autentificarea de peering dintre componentele de control, obține drepturi de administrator și poate modifica configurația rețelei SD-WAN. BleepingComputer adaugă că accesul permite înregistrarea unor peer-uri neautorizate.
• Exploatare anterioară: aici sursele nu coincid. BleepingComputer scrie că un alt grup, UAT-8616, exploatează vulnerabilitatea ca zero-day cel puțin din 2023. SecurityWeek relatează în schimb că, potrivit Lumen, Volt Typhoon o exploata până la sfârșitul lui 2025 și a continuat mult timp după publicarea Cisco.

Cum funcționează KeyDrift

Potrivit Talos, citat de ambele publicații, KeyDrift lucrează în interiorul proceselor legitime ale planului de control, deci vede mesajele de control după ce controlerul le-a decriptat deja. Are două componente principale, iar Talos a observat semne de dezvoltare în curs, cu noi mecanisme anti-debugging și diferite moduri de a se da drept procese ale sistemului.

PolyFlame este backdoor-ul. BleepingComputer relatează că rulează în interiorul proceselor vdaemon, instalat prin scripturi de pornire a serviciilor modificate și un injector. Permite:

• executarea de comenzi printr-o componentă în stil TinyShell;
• încărcarea și descărcarea de fișiere;
• folosirea controlerului ca nod intermediar de comandă și control (C2), care retransmite comunicațiile dintre serverul atacatorului și alte gazde.

LittleFilch interceptează sesiunile de control. Potrivit BleepingComputer, agață funcția SSL_read pentru a citi mesajele deja decriptate și, pentru o listă de noduri edge prestabilite, extrage identificatorii IP și un câmp de 32 de octeți pe care Talos îl consideră material de cheie AES-256 pentru IPsec-ul planului de date. Datele colectate sunt criptate cu RSA, salvate în /var/tmp/vdaemon.bin și apoi trimise atacatorilor prin UDP.

În practică, cine deține aceste chei ar putea decripta traficul dintre sedii protejat de tunelurile IPsec ale SD-WAN, dacă reușește să îl și intercepteze. Sursele nu spun dacă acest lucru s-a întâmplat.

În termeni MITRE ATT&CK, tehnicile descrise corespund: T1190 (Exploit Public-Facing Application) pentru accesul inițial, T1037 (Boot or Logon Initialization Scripts) pentru scripturile de pornire modificate, T1055 (Process Injection) și T1036 (Masquerading) pentru execuția în interiorul vdaemon, T1622 (Debugger Evasion), T1090 (Proxy) pentru rolul de nod intermediar, T1074 (Data Staged) pentru fișierul din /var/tmp și T1048 (Exfiltration Over Alternative Protocol) pentru trimiterea prin UDP.

Cine se află în spate

Talos descrie UAT-11473 ca pe un grup APT foarte sofisticat care vizează servicii spațiale și prin satelit, tehnologii pentru apărare și industria aerospațială și centre de cercetare în domeniul politicilor publice. Potrivit SecurityWeek, Talos vorbește despre o activitate „istorică”, fără să precizeze când au avut loc atacurile.

Talos apreciază cu încredere ridicată că infrastructura UAT-11473 se suprapune în mare măsură cu Silent Train, rețeaua de lanțuri efemere de dispozitive compromise pe care Black Lotus Labs, de la Lumen, o atribuie grupului Volt Typhoon. Totuși, Talos nu afirmă că este vorba de același grup, iar SecurityWeek precizează că raportul Lumen nu menționează nici KeyDrift, nici UAT-11473.

Impactul pentru companiile europene și italiene

Victimele indicate sunt mai ales în Statele Unite, în sectoare precum apărarea, spațiul și telecomunicațiile. Cazul îi privește însă pe toți cei care folosesc Cisco Catalyst SD-WAN: prin controlere trec configurația și cheile întregii rețele de arie largă. O compromitere nu se vede de pe echipamentele din sedii și, dacă cheile planului de date au fost sustrase, confidențialitatea traficului dintre sedii nu mai este garantată nici după eliminarea malware-ului.

Pentru entitățile NIS2, și în special pentru cele din apărare, industria aerospațială, telecomunicații sau sănătate, cu mai multe unități conectate prin SD-WAN, compromiterea unui controler trebuie tratată ca incident semnificativ și evaluată pentru notificarea către CSIRT-ul național (în România, DNSC; în Italia, CSIRT Italia al ACN).

Ce să faci imediat

1. Verifică actualizarea: asigură-te că toate componentele Catalyst SD-WAN (Controller și Manager, inclusiv mediile de recuperare în caz de dezastru) au corecția din februarie 2026 pentru CVE-2026-20127. Sursele nu enumeră versiunile: consultă buletinul Cisco.
2. Aplică ghidul de hardening pe care Cisco îl recomandă pentru instalările Catalyst SD-WAN.
3. Caută urmele KeyDrift pe controlere:
   • fișierul /var/tmp/vdaemon.bin;
   • modificări ale scripturilor de pornire a serviciilor;
   • procese vdaemon anormale sau duplicate;
   • trafic UDP de ieșire de la controlere către destinații necunoscute.
4. Verifică peer-urile: revizuiește lista peer-urilor înregistrate și modificările recente de configurație, căutând dispozitive pe care nu le recunoști.
5. Dacă găsești indicii de compromitere, consideră expuse cheile planului de date: reconstruiește controlerele din imagini curate, regenerează cheile și certificatele, păstrează dovezile înainte de a interveni și evaluează obligațiile de notificare.
6. Izolează administrarea: controlerele nu trebuie să fie accesibile din Internet sau din rețele nesigure.

Cum ajută ARXDOME

ARX Expose îți arată ce servicii expune compania ta pe Internet și care au vulnerabilități cunoscute, ca să știi dacă există componente SD-WAN accesibile din exterior. ARX Sentry colectează jurnalele firewall-urilor și ale altor dispozitive de rețea într-un colector central, util pentru a observa trafic de ieșire neobișnuit de la controlere. ARX Horizon îți permite să consulți vulnerabilitățile din portal și să cauți indicatori de compromitere.

Ultima actualizare: 29 octombrie 2026