Dobësia në Cisco SD-WAN mundësoi vendosjen e malware KeyDrift
Dobësia në Cisco SD-WAN, e gjurmuar si CVE-2026-20127, u shfrytëzua për të instaluar malware të personalizuar brenda sistemeve që kontrollojnë software-defined wide area network të një organizate, ose SD-WAN. Cisco Talos e quan malware KeyDrift dhe thotë se ai është projektuar për të mbledhur materialin e enkriptimit që mbron trafikun ndërmjet site-ve. Cisco e korrigjoi dobësinë në shkurt, por thotë se është në dijeni të një shfrytëzimi të kufizuar.
CVE-2026-20127 ka rezultatin maksimal të ashpërsisë 10.0 në Common Vulnerability Scoring System (CVSS). Një sulmues që mund të arrijë një sistem të prekur nuk ka nevojë për një account ekzistues për të anashkaluar autentikimin dhe për të marrë privilegje administrative. Në një Catalyst SD-WAN Controller, që më parë quhej vSmart, sulmuesi mund të hyjë përmes një account të brendshëm me privilegje të larta, megjithëse ai account nuk është root, account më i fuqishëm i sistemit operativ. Talos e gjurmoi aktivitetin e mëparshëm të shfrytëzimit si UAT-8616 dhe tha se ai datonte të paktën që nga viti 2023.
Procesi tradicional i Cisco për mbrojtjen e trafikut parashikon që çdo SD-WAN router të gjenerojë periodikisht një çelës Advanced Encryption Standard (AES) dhe t'ia dërgojë atë Controller. Controller ua shpërndan atë informacion router-ëve të tjerë përmes lidhjeve të enkriptuara të kontrollit, të menaxhuara nga një process i quajtur vdaemon. Në një Controller të komprometuar, një komponent i KeyDrift i quajtur LittleFilch lidhet me vdaemon dhe lexon mesazhet pasi process i ka dekriptuar ato. Për një listë të konfiguruar edge routers, ai regjistron adresat e tyre IP dhe një field prej 32 byte-sh, që Talos vlerëson se përmban material enkriptimi AES-256 për trafikun.
LittleFilch i mbron records e mbledhura me RSA encryption dhe i ruan ato në /var/tmp/vdaemon.bin. Ai mund t'i transmetojë records përmes User Datagram Protocol (UDP) në një adresë të ruajtur në /var/tmp/vdaemon.conf, të cilin e fshin pasi e lexon. Talos nuk e rikuperoi atë skedar konfigurimi. Sulmet i përshkruan si historike, por nuk përcaktoi se kur ndodhën ose nëse ndonjë material i mbledhur u transmetua me sukses.
Talos i gjurmon operatorët pas KeyDrift si UAT-11473 dhe thotë se ata kanë shënjestruar shërbimet hapësinore dhe satelitore, teknologjinë e mbrojtjes dhe të hapësirës ajrore, si edhe kërkimin mbi politikat. Studiuesit vlerësojnë me besim të lartë se infrastruktura e grupit përputhet në masë të konsiderueshme me Silent Train, emri që Black Lotus Labs i Lumen përdor për një rrjet pajisjesh të komprometuara të zyrave të vogla, home-office, Internet of Things dhe bizneseve. Lumen e ka lidhur atë rrjet me Volt Typhoon. Talos e lidh UAT-11473 me Volt Typhoon vetëm përmes përputhjes së infrastrukturës dhe nuk pretendon se janë i njëjti grup. Gjithashtu, nuk shpjegon marrëdhënien ndërmjet UAT-11473 dhe UAT-8616. Veçmas, Lumen tha më 28 tetor se Volt Typhoon e kishte shfrytëzuar CVE-2026-20127 deri nga fundi i vitit 2025 dhe kishte vazhduar pas publikimit të informacionit në shkurt, por Lumen nuk e lidhi atë aktivitet me KeyDrift.
KeyDrift zakonisht nis përmes runit scripts të ndryshuara, të cilat janë skedarë që përdoren për të nisur services në pajisjet e prekura. Në një version, SSH service script nis conf_sshd përpara serverit legjitim të aksesit në distancë. Ai script regjistron process IDs për vdaemon në /tmp/system-vdaemon, pas së cilës një tool i quajtur rsshd injekton modulin kryesor PolyFlame, të ruajtur si libdssl.so, në ato processes aktive. PolyFlame funksionon në memorie dhe mund të ofrojë një backdoor të ngjashëm me TinyShell për ekzekutimin e komandave dhe leximin ose ndryshimin e skedarëve. Ai gjithashtu mund të përcjellë komanda ndërmjet sistemit që e kontrollon dhe makinave të tjera. Komandat mund të mbërrijnë brenda trafikut të kontrollit SD-WAN dhe samples e ekzaminuara nuk përmbanin një adresë të fiksuar të command server.
Në një Catalyst SD-WAN Validator të komprometuar, që më parë quhej vBond, sulmuesit krijuan një service të rremë aaamgr nën /etc/sv/aaamgr/. Loader aaamgrd i paketuar dekripton dhe nis PolyFlame. Komponenti legjitim aaamgr i Cisco është një Python package dhe zakonisht nuk funksionon si compiled service. Talos gjeti gjithashtu prova të timestomping, një teknikë fshehjeje në të cilën sulmuesit kopjojnë datat dhe permissions e skedarëve legjitimë te skedarët keqdashës. Tregues të tjerë përfshijnë një run script të modifikuar nën etc/sv/sshd/, conf_sshd, rsshd, libcommon.so, /var/tmp/vdaemon.bin dhe skedarin e fshirë /var/tmp/vdaemon.conf. Talos nuk publikoi hash të skedarëve, adresa IP ose domains të KeyDrift.
Dobësia prek sistemet Catalyst SD-WAN Controller, Manager, që më parë quhej vManage, dhe Validator, pavarësisht konfigurimit. Preken si instalimet on-premises, ashtu edhe deployments e hostuara nga Cisco, duke përfshirë mjediset Cisco Managed dhe FedRAMP. Cisco e shtoi Validator në advisory e vet më 16 qershor. Versionet e para të korrigjuara janë 20.9.8.2 për train 20.9; 20.12.6.1 për 20.11; 20.12.5.3 ose 20.12.6.1 për 20.12; 20.15.4.2 për 20.13, 20.14 dhe 20.15; si edhe 20.18.2.1 për 20.16 dhe 20.18. Sistemet më të hershme se 20.9 duhet të migrojnë në një version të korrigjuar. Versionet më të hershme se 20.9 dhe trains 20.11, 20.13, 20.14 dhe 20.16 janë jashtë mirëmbajtjes së software.
Nuk ka workaround. Derisa të jetë i mundur një upgrade, klientët on-premises mund ta kufizojnë aksesin në portet 22 dhe 830 vetëm për controllers të njohur dhe sisteme të tjera të miratuara. Cisco thotë se kjo funksionoi në mjedisin e vet të testimit, por i këshillon klientët ta verifikojnë rezultatin në rrjetet e tyre. Kufizime të ngjashme zbatohen tashmë në deployments SD-WAN të hostuara prej saj. Bllokimi i porteve nuk e heq malware nga një sistem që është tashmë i komprometuar dhe as udhëzimet e Talos, as udhëzimet për upgrade nuk përcaktojnë se instalimi i një versioni të korrigjuar e heq KeyDrift. Udhëzimet e Cisco për remediation, të publikuara në shkurt, paralajmërojnë se komponentët keqdashës të vendosur përpara një upgrade mund të mbeten.
Administratorët mund të kërkojnë në /var/log/auth.log për records Accepted publickey for vmanage-admin që vijnë nga adresa IP të panjohura. Cisco rekomandon ekzekutimin e request admin-tech në çdo komponent kontrolli përpara hapjes së një rasti në Technical Assistance Center dhe më pas rescanning të skedarëve të krijuar me Check Bug Applicability në faqen Bug Search Tool për CSCws52722. Më 28 tetor, Talos publikoi Snort network-detection rules 67387 deri në 67416 për Snort 2 dhe 7:44 deri në 7:73 për Snort 3. Rules për Snort 2 janë të çaktivizuara si standard në set-in me pagesë Subscriber dhe duhet të aktivizohen manualisht. Rules ekzistuese 65938 dhe 65958 mbulojnë vetë shfrytëzimin e CVE-2026-20127.
Organizatat që gjejnë prova komprometimi duhet të nisin incident response, në vend që ta trajtojnë një upgrade si provë se sistemi është i pastër. Direktiva emergjente e 25 shkurtit e US Cybersecurity and Infrastructure Security Agency u kërkon agjencive civile federale që identifikojnë komprometim të root account ta raportojnë atë, të vendosin instances të reja Manager, Controller dhe Validator nga patched images dhe t'i transferojnë edge routers në ato sisteme. Për bizneset që kërkojnë mbështetje të jashtme për këtë lloj rreziku infrastrukture, AEU-I ofron IT, infrastrukturë dhe konsulencë me sigurinë si përparësi.
Disponueshëm edhe në: English