En hotaktörsgrupp som spåras som UAT-11473 utnyttjade CVE-2026-20127, en autentiseringsförbikopplingssårbarhet i Cisco Catalyst SD-WAN Controllers, för att sprida KeyDrift, ett specialutvecklat ramverk för skadlig kod, rapporterade Cisco Talos-forskare. Forskarna uppgav att aktiviteten riktades mot rymd- och satellittjänster, försvars- och flygteknik samt organisationer som bedriver policyforskning.
Cisco åtgärdade CVE-2026-20127 i februari 2026. Sårbarheten kan ge angripare på distans privilegierad åtkomst till Catalyst SD-WAN Controller och Manager och göra det möjligt att lägga till obehöriga jämlikar. Enligt källan hade UAT-8616 utnyttjat sårbarheten som en nolldagssårbarhet sedan åtminstone 2023. Cisco Talos uppgav att UAT-11473 verkar överlappa med Volt Typhoons dolda åtkomstnätverk ”Silent Train”, men drog ingen definitiv slutsats om en koppling.
Talos bedömer med hög säkerhet att KeyDrift är utformat för bestående åtkomst och automatisk stöld av känsligt nyckelmaterial. Det körs i SD-WAN:s kontrollplansprocesser och kan granska dekrypterad kontrolltrafik, samla in sessionsmetadata och nycklar för dataplanet samt lagra eller överföra materialet i krypterade poster.
Ramverket har två komponenter: PolyFlame och LittleFilch. PolyFlame körs i legitima vdaemon-processer och stöder kommandokörning, filöverföring och vidarebefordran av kommunikation mellan angriparens kommando- och kontrollserver och flera jämlikar. LittleFilch hakar in i SSL_read för att granska kontrollplansmeddelanden efter dekryptering. För fördefinierade kantnoder hämtar det IP-identifierare och ett 32-bytefält som Talos bedömer vara AES-256 IPsec-nyckelmaterial för dataplanet. Informationen skyddas med RSA-kryptering, sparas i /var/tmp/vdaemon.bin och skickas sedan via UDP.
Cisco rekommenderar att tillgängliga säkerhetsuppdateringar för CVE-2026-20127 installeras och att administratörer följer företagets härdningsguide för Catalyst SD-WAN-installationer.
Kommentarer
0Inga kommentarer ännu. Skriv den första.