APT-группировка UAT-11473 эксплуатирует уязвимость в Cisco SD-WAN

APT-группировка UAT-1147 обходит аутентификацию в Cisco SD-WAN

Cisco Talos выявила APT-группировку UAT-1147, которая эксплуатирует уязвимость CVE-2026-20127. Уязвимость позволяет обойти аутентификацию в контроллерах Cisco SD-WAN Catalyst. Злоумышленники получают несанкционированный доступ к системам. После получения доступа UAT-1147 устанавливает кастомный фреймворк вредоносного ПО KeyDrift. Фреймворк состоит из нескольких компонентов, предназначенных для сбора конфиденциальной информации. Он также действует как бэкдор и промежуточный центр управления (C2). Целями атак становятся компании в сфере космических и спутниковых услуг, оборонной и аэрокосмической промышленности, а также аналитические центры. Инфраструктура UAT-1147 имеет значительные пересечения с сетью скрытого доступа Volt Typhoon "Silent Train".

KeyDrift перехватывает и извлекает ключи шифрования из трафика управления

KeyDrift — это фреймворк вредоносного ПО, разработанный для работы в средах Cisco SD-WAN. Он обеспечивает долговременный устойчивый доступ и автоматизированный сбор конфиденциальных ключей шифрования. KeyDrift работает внутри процессов плоскости управления SD-WAN. Он перехватывает расшифрованный трафик управления, извлекает метаданные сеансов управления и ключи шифрования плоскости данных. Собранные данные сохраняются или передаются в зашифрованном виде. Основной компонент фреймворка — PolyFlame. Это резидентный в памяти модуль, развертываемый через измененные пути служб runit. PolyFlame внедряется в легитимные процессы vdaemon. Он также может маскироваться под загрузчик "aaamgrd". PolyFlame перехватывает сетевые вызовы, такие как recvfrom, sendto, getpeername, dlopen, dlsym, mprotect. Это дает KeyDrift доступ к трафику плоскости управления SD-WAN изнутри легитимных процессов контроллера. Другой компонент, LittleFilch, отвечает за сбор и экфильтрацию данных. Модуль перехватывает функцию SSL_read внутри vdaemon. Он анализирует расшифрованные буферы плоскости управления и извлекает ключи шифрования для списка предопределенных граничных узлов. Данные сохраняются локально в зашифрованном формате для последующей передачи. KeyDrift предназначен для сбора данных из плоскости управления Cisco SD-WAN. Он обеспечивает постоянное присутствие в контроллере, доступ к трафику внутри канала, извлечение ключей шифрования из сообщений управления и их последующую передачу. Наблюдаемые вариации модулей KeyDrift и механизмов развертывания указывают на активное развитие фреймворка.

Атака затрагивает контроллеры Cisco SD-WAN и связанные с ними сервисы

Эксплуатация уязвимости CVE-2026-20127 затрагивает экземпляры Cisco SD-WAN Catalyst Controller. Злоумышленники используют фреймворк KeyDrift, который устанавливается на скомпрометированные системы. KeyDrift развертывается через измененные пути служб runit, включая sshd и aaamgr. Компонент PolyFlame внедряется в процессы vdaemon. Вариант PolyFlame также маскируется под службу aaamgr, используя упакованный загрузчик aaamgrd. Модуль LittleFilch перехватывает данные в процессах vSmart. Атаки нацелены на организации в аэрокосмической, оборонной и спутниковой отраслях. Также под ударом находятся аналитические центры. Cisco Talos отмечает, что инфраструктура UAT-1147 пересекается с сетью Volt Typhoon "Silent Train".

Обновите контроллеры Cisco SD-WAN и отслеживайте подозрительную активность

Cisco рекомендует обновить контроллеры Cisco SD-WAN до последних версий. Необходимо установить патчи безопасности для устранения уязвимости CVE-2026-20127. Организациям следует внимательно отслеживать подозрительную активность в своих сетях SD-WAN. Особое внимание следует уделить необычным процессам, сетевым соединениям и попыткам доступа к конфиденциальным данным. Необходимо провести аудит конфигураций безопасности и сетевых политик. Анализ журналов событий контроллеров SD-WAN поможет выявить признаки компрометации. Компании, работающие в оборонной, аэрокосмической и спутниковой отраслях, должны проявлять повышенную бдительность. Необходимо проверить наличие индикаторов компрометации (IoC), связанных с фреймворком KeyDrift. Cisco Talos предоставляет подробную техническую информацию об уязвимости и вредоносном ПО для помощи в расследовании инцидентов.