Nowo zidentyfikowana grupa zaawansowanych cyberzagrożeń, śledzona jako UAT-11473, wykorzystywała lukę CVE-2026-20127 w kontrolerach Cisco Catalyst SD-WAN. Celem operacji było wdrożenie własnego frameworka malware o nazwie KeyDrift. Według badaczy Cisco Talos narzędzie zaprojektowano tak, aby utrzymywało długotrwały dostęp do kontrolerów i automatyzowało pozyskiwanie wrażliwych danych.
CVE-2026-20127 to podatność pozwalająca zdalnemu napastnikowi ominąć uwierzytelnianie i uzyskać uprzywilejowany dostęp do kontrolera oraz menedżera Cisco Catalyst SD-WAN. W praktyce luka może umożliwić także dodawanie nieautoryzowanych urządzeń lub równorzędnych elementów do środowiska sieciowego. Cisco udostępniło poprawkę w lutym 2026 roku, dlatego aktualizacja kontrolerów pozostaje podstawowym działaniem ograniczającym ryzyko.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Architektura zarządzania siecią rozległą, która wykorzystuje oprogramowanie do centralnego sterowania połączeniami między lokalizacjami.
Określenie grupy prowadzącej długotrwałe, ukierunkowane działania z użyciem zaawansowanych narzędzi.
Luka w zabezpieczeniach, która jest wykorzystywana, zanim zostanie udostępniona poprawka lub zanim użytkownicy zdążą skutecznie zareagować.
KeyDrift nie jest pojedynczym plikiem, lecz frameworkiem dostosowanym do działania na instancjach kontrolerów Cisco SD-WAN. Talos ocenia z wysoką pewnością, że jego zadaniem jest utrzymanie dostępu, obserwowanie komunikacji płaszczyzny sterowania oraz przechwytywanie danych związanych z szyfrowaniem transmisji. Malware może analizować ruch po jego odszyfrowaniu wewnątrz kontrolera, a następnie przygotowywać zebrane informacje do wysłania do infrastruktury atakujących.
Szczególne znaczenie ma możliwość pozyskiwania metadanych sesji sterujących oraz materiału kryptograficznego używanego do ochrony ruchu w płaszczyźnie danych. Badacze wskazują, że KeyDrift potrafi gromadzić identyfikatory adresowe wybranych węzłów i dane oceniane jako klucze AES-256 dla połączeń IPsec. Informacje są zabezpieczane kryptograficznie przed dalszym przekazaniem, co może utrudniać ich wykrycie podczas analizy komunikacji.
Framework składa się z dwóch głównych komponentów. PolyFlame odpowiada za utrzymanie obecności w legalnych procesach usługowych, wykonywanie poleceń, transfer plików oraz przekazywanie komunikacji między serwerem sterującym a innymi elementami infrastruktury. LittleFilch przechwytuje komunikaty sesji sterujących po ich odszyfrowaniu i wybiera z nich informacje istotne dla dalszej działalności napastników. Talos odnotował oznaki rozwoju obu modułów, w tym nowe mechanizmy utrudniające analizę oraz różne sposoby podszywania się pod procesy.
Cisco zaleca administratorom niezwłoczne zastosowanie dostępnych aktualizacji bezpieczeństwa dla CVE-2026-20127 oraz sprawdzenie dedykowanego przewodnika wzmacniania konfiguracji Catalyst SD-WAN. Organizacje korzystające z tych kontrolerów powinny również przeanalizować logi i nietypową aktywność procesów zgodnie z własnymi procedurami reagowania na incydenty. Sama instalacja poprawki ogranicza możliwość dalszego wykorzystania luki, ale nie potwierdza, że środowisko nie zostało wcześniej naruszone. W przypadku podejrzenia infekcji potrzebna jest osobna weryfikacja kontrolerów i połączeń zarządzających.
Brak komentarzy. Bądź pierwszy!