Un grup de spionaj cibernetic urmărit ca UAT-11473 a exploatat o vulnerabilitate critică din controllerele Cisco Catalyst SD-WAN pentru a instala KeyDrift, un malware conceput să mențină accesul și să extragă material criptografic. Cisco a remediat problema în februarie 2026, însă cercetătorii avertizează că exploatarea ei are un istoric mai lung și că atribuirea atacurilor rămâne incertă.
O vulnerabilitate de autentificare, folosită pentru acces privilegiat
CVE-2026-20127 permite unui atacator de la distanță să ocolească autentificarea și să obțină acces privilegiat la Catalyst SD-WAN Controller și Manager. Odată ajuns în aceste sisteme, atacatorul poate adăuga peer-i neautorizați, extinzând accesul în infrastructura de rețea.
Cisco Talos spune că UAT-8616 exploata vulnerabilitatea ca zero-day cel puțin din 2023, înainte ca remedierea să fie publicată. Cercetări recente au asociat exploatarea și cu Volt Typhoon, grup sponsorizat de statul chinez, dar această asociere nu stabilește cine s-a aflat în spatele fiecărui atac.
Talos observă o posibilă suprapunere între UAT-11473 și rețeaua clandestină de acces „Silent Train”, asociată cu Volt Typhoon, însă nu afirmă că legătura este dovedită. Într-un raport publicat cu o zi înaintea materialului Cisco, Lumen a descris cadrul Silent Train ca pe o infrastructură care ajută grupul să evite detectarea în timpul atacurilor ce exploatează vulnerabilități zero-day.
KeyDrift urmărește traficul de control și cheile IPsec
Atacurile documentate au vizat servicii spațiale și prin satelit, companii din apărare și tehnologie aerospațială, precum și organizații de cercetare a politicilor publice. Talos apreciază cu un nivel ridicat de încredere că KeyDrift este construit pentru acces persistent și exfiltrarea automatizată a materialului criptografic sensibil, nu doar pentru compromiterea inițială.
Cadrul operează în procesele planului de control SD-WAN și poate inspecta traficul de control după decriptare, colecta metadate ale sesiunilor și extrage material criptografic folosit de planul de date. Talos a identificat două componente, PolyFlame și LittleFilch, aflate în dezvoltare activă, cu mecanisme anti-depanare noi și metode variate de a se da drept procese legitime.
PolyFlame rulează în procese vdaemon legitime, folosind scripturi de pornire a serviciilor modificate și un injector. Componenta oferă executare de comenzi printr-un modul de tip TinyShell, transfer de fișiere și retransmiterea comunicațiilor dintre serverul de comandă și control al atacatorilor și mai mulți peer-i.
Sursă foto: www.bleepstatic.comLittleFilch interceptează sesiunile de control prin agățarea funcției SSL_read, analizând mesajele după decriptarea lor în controller. Pentru noduri edge prestabilite, extrage identificatori IP și un câmp de 32 de octeți, despre care Talos estimează că reprezintă material de chei AES-256 pentru IPsec.
Datele colectate sunt protejate prin criptare RSA, salvate în fișierul /var/tmp/vdaemon.bin și apoi trimise atacatorilor prin UDP. Combinația dintre interceptarea traficului, extragerea cheilor și transferul criptat poate permite monitorizarea comunicațiilor protejate fără a sparge direct algoritmii criptografici utilizați.
Ce trebuie să facă organizațiile din România și UE
Pentru operatorii de telecomunicații, instituțiile publice și companiile din sectoarele aerospațial, energetic sau de apărare din România și UE, incidentul arată că un controller SD-WAN compromis poate deveni o sursă de acces persistent și de expunere a materialului criptografic. Riscul nu se limitează la dispozitivul vulnerabil: peer-ii adăugați și cheile extrase pot afecta încrederea în comunicațiile dintre sedii și noduri edge.
Cisco recomandă instalarea actualizărilor disponibile pentru CVE-2026-20127 și consultarea ghidului său de hardening pentru implementările Catalyst SD-WAN. Organizațiile ar trebui, în paralel, să verifice configurațiile și peer-ii, să caute modificări neautorizate ale scripturilor de pornire și ale proceselor vdaemon și să revizuiască traficul UDP și accesul la fișierul /var/tmp/vdaemon.bin.
Într-un incident suspect, simpla aplicare a patch-ului nu confirmă eliminarea accesului deja instalat. Echipele de securitate ar trebui să trateze controllerul drept potențial compromis, să păstreze dovezile pentru analiză și să evalueze rotația cheilor IPsec și a acreditărilor, coordonând răspunsul cu furnizorul și echipele responsabile de rețea.
