Bilgisayar korsanları Cisco SD-WAN açığını kullanarak KeyDrift zararlı yazılımını dağıtıyor

Cisco Talos araştırmacılarının bildirdiğine göre UAT-11473 olarak izlenen bir tehdit grubu, özel bir zararlı yazılım çerçevesi olan KeyDrift’i dağıtmak için Cisco Catalyst SD-WAN Controllers ürünlerindeki CVE-2026-20127 kimlik doğrulama atlatma açığını kullandı. Araştırmacılar, etkinliğin uzay ve uydu hizmetlerini, savunma ve havacılık teknolojisi kuruluşlarını ve politika araştırma kuruluşlarını hedef aldığını söyledi.

Cisco, CVE-2026-20127 açığını Şubat 2026’da yamaladı. Açık, uzaktaki saldırganların Catalyst SD-WAN Controller ve Manager üzerinde ayrıcalıklı erişim elde etmesine ve sahte eşler eklemesine olanak tanıyabiliyor. Kaynağa göre UAT-8616, açığı en az 2023’ten beri sıfırıncı gün açığı olarak kullanıyordu. Cisco Talos, UAT-11473’ün Volt Typhoon’un “Silent Train” gizli erişim ağıyla örtüşüyor gibi göründüğünü, ancak kesin bir bağlantı kurmadığını belirtti.

Talos, KeyDrift’in kalıcı erişim ve hassas anahtar materyalinin otomatik olarak çalınması amacıyla tasarlandığını yüksek güvenle değerlendiriyor. Yazılım, SD-WAN kontrol düzlemi süreçlerinde çalışıyor; şifresi çözülmüş kontrol trafiğini inceleyebiliyor, oturum üst verilerini ve veri düzlemi anahtarlarını toplayabiliyor, verileri şifrelenmiş kayıtlarla saklayabiliyor veya iletebiliyor.

Çerçevenin PolyFlame ve LittleFilch adlı iki bileşeni var. PolyFlame, meşru vdaemon süreçlerinde çalışıyor ve komut yürütme, dosya aktarımı, saldırganın komuta kontrol sunucusu ile birden fazla eş arasında ileti aktarımı özellikleri sunuyor. LittleFilch, şifresi çözüldükten sonra kontrol düzlemi mesajlarını incelemek için SSL_read işlevine kanca atıyor. Önceden tanımlanmış uç düğümler için IP tanımlayıcılarını ve Talos’un AES-256 IPsec veri düzlemi anahtar materyali olduğunu değerlendirdiği 32 baytlık bir alanı çıkarıyor. Toplanan bilgileri RSA şifrelemesiyle koruyor, /var/tmp/vdaemon.bin dosyasına kaydediyor ve UDP üzerinden gönderiyor.

Cisco, CVE-2026-20127 için mevcut güvenlik güncellemelerinin uygulanmasını ve Catalyst SD-WAN kurulumları için hazırladığı sıkılaştırma kılavuzuna başvurulmasını öneriyor.