هکرها از نقص سیسکو SD-WAN برای استقرار بدافزار KeyDrift سفارشی سوء استفاده می کنند

یک گروه تهدید دائمی پیشرفته (APT) که به تازگی شناسایی شده و به‌عنوان UAT-11473 ردیابی می‌شود، مشاهده شد که از CVE-2026-20127، یک نقص احراز هویت بای پس در کنترل‌کننده‌های Cisco Catalyst SD-WAN، برای استقرار یک چارچوب بدافزار سفارشی به نام KeyDrift استفاده می‌کند.

CVE-2026-20127 یک نقص با حداکثر شدت است که سیسکو در فوریه 2026 وصله کرد، که به مهاجمان راه دور اجازه می دهد تا دسترسی ممتاز به Catalyst SD-WAN Controller و Manager داشته باشند و همتایان سرکش را اضافه کنند.

UAT-8616 حداقل از سال 2023 از این آسیب‌پذیری به‌عنوان یک روز صفر بهره‌برداری کرده است و تحقیقات اخیر نیز بهره‌برداری از آن را به گروه هکری تحت حمایت دولت چین Volt Typhoon مرتبط کرده است.

به گفته محققان Cisco Talos که در مورد این فعالیت گزارش دادند، به نظر می رسد که خوشه تهدید UAT-11473 با شبکه دسترسی مخفی "قطار خاموش" Volt Typhoon همپوشانی داشته باشد، اما آنها هیچ پیوند قطعی ایجاد نکردند.

در گزارشی که Lumen دیروز منتشر کرد، محققان فاش کردند که چارچوب قطار خاموش به Volt Typhoon اجازه می‌دهد تا در حین انجام حملات آسیب‌پذیری روز صفر از شناسایی فرار کند.

این حملات، محققان سیسکو، سرویس‌های فضایی و ماهواره‌ای، فناوری‌های دفاعی و هوافضا، و سازمان‌های تحقیقاتی سیاست‌گذاری را با استفاده از بدافزار KeyDrift، که یک چارچوب بدافزار سفارشی طراحی شده برای کار بر روی نمونه‌های کنترل‌کننده SD-WAN Cisco است، مشاهده کردند.

Cisco Talos توضیح داد: «Talos با اطمینان بالا ارزیابی می‌کند که این چارچوب برای ارائه دسترسی طولانی‌مدت مداوم و استخراج خودکار مواد کلیدی حساس طراحی شده است.

"KeyDrift در داخل فرآیندهای صفحه کنترل SD-WAN عمل می کند و می تواند ترافیک کنترل رمزگشایی شده را رهگیری کند، فراداده های جلسه کنترل و مواد کلیدسازی صفحه داده را استخراج کند و مطالب جمع آوری شده را با استفاده از سوابق رمزگذاری شده مرحله بندی یا انتقال دهد."

KeyDrift دارای دو جزء اصلی است، PolyFlame و LittleFilch، که Talos نشانه‌هایی از توسعه مداوم، از جمله مکانیسم‌های جدید ضد اشکال‌زدایی و جعل هویت فرآیندهای متنوع را مشاهده کرد.

PolyFlame در داخل فرآیندهای vdaemon قانونی با استفاده از اسکریپت های راه اندازی سرویس تغییر یافته و یک انژکتور برای استقرار اجرا می شود.

این برنامه از اجرای فرمان از طریق یک مؤلفه به سبک TinyShell، آپلود و دانلود فایل، و انتقال ارتباطات بین سرور فرمان و کنترل (C2) مهاجم و چندین همتا پشتیبانی می کند.

LittleFilch یک ماژول رهگیری جلسه کنترل است که SSL_read را برای بازرسی پیام های صفحه کنترل پس از رمزگشایی در داخل کنترلر قلاب می کند.

برای گره های لبه از پیش تعریف شده، شناسه های IP و یک فیلد 32 بایتی را استخراج می کند که Talos آن را به عنوان مواد کلیدی صفحه داده IPsec AES-256 ارزیابی می کند.

از رمزگذاری RSA برای محافظت از اطلاعات جمع‌آوری‌شده استفاده می‌کند، آن را در /var/tmp/vdaemon.bin ذخیره می‌کند و سپس آن را از طریق UDP به مهاجمان منتقل می‌کند.

Talos با اطمینان بالا معتقد است که KeyDrift برای حفظ دسترسی دائمی به کنترل‌کننده‌های Cisco SD-WAN، رهگیری ترافیک هواپیمای کنترل، استخراج کلیدهای رمزنگاری، و مرحله‌بندی یا استخراج امن داده‌های دزدیده شده طراحی شده است.

سیسکو توصیه می‌کند که مدیران سیستم به‌روزرسانی‌های امنیتی موجود را برای CVE-2026-20127 اعمال کنند و همچنین به راهنمای سخت‌سازی اختصاصی فروشنده برای استقرار Catalyst SD-WAN مراجعه کنند.

نمرات کلی پیشگیری می تواند اتفاقات پس از دسترسی اولیه را پنهان کند. هنگامی که مهاجمان از اعتبارنامه های معتبر استفاده می کنند، پیشگیری به شدت کاهش می یابد.

گزارش آبی 2026 تکنیک دفاعی را با تکنیک در 338 میلیون شبیه سازی اجرا شده در محیط های تولید مشتری اندازه گیری می کند.

سیسکو در مورد SD-WAN جدید روز صفر که در حملات مورد سوء استفاده قرار می گیرد هشدار می دهد

سیسکو در مورد حداکثر شدت ISE صفر روز در حملات هشدار می دهد

فایروال جدید سیسکو zero-day برای خراب کردن دستگاه های SSL VPN مورد سوء استفاده قرار گرفت

CISA به فدرال رزرو هشدار می دهد که به طور کامل نقص های سیسکو را که به طور فعال مورد سوء استفاده قرار گرفته اند اصلاح کنند

گزارش InfraTrust در مورد نقص های سوء استفاده شده در زیرساخت شبکه حیاتی هشدار می دهد