Ing. Calogero Bono
Cisco Talos hat am 28. Oktober eine Analyse zu KeyDrift veröffentlicht, einer Malware, die innerhalb der Controller von Cisco Catalyst SD-WAN laufen soll. Angreifer dringen über CVE-2026-20127 ein, eine Lücke zur Umgehung der Authentifizierung mit CVSS-Wert 10.0, die Cisco im Februar geschlossen hat. Die Malware soll die Schlüssel kopieren, die den Datenverkehr zwischen den Standorten einer Organisation verschlüsseln. Das betrifft jeden, der geografisch verteilte Unternehmensnetze betreibt, denn angegriffen wird das Gehirn des Netzes und nicht einzelne Router.
Ein paar Begriffe, bevor es zu den Fakten geht. SD-WAN ist ein softwaregesteuertes Weitverkehrsnetz, das Standorte und Niederlassungen verbindet. Der Controller (früher vSmart) verteilt Regeln und Schlüssel, der Manager (vManage) verwaltet alles, und der Validator (vBond) authentifiziert die Geräte. NETCONF ist ein Protokoll, mit dem sich die Konfiguration von Netzwerkgeräten ändern lässt. Ein APT ist eine fortgeschrittene, hartnäckige Angreifergruppe, die oft einem Staat zugeordnet wird. Eine Umgehung der Authentifizierung erlaubt den Zugang, ohne ein Passwort zu kennen.
Was mit CVE-2026-20127 passiert ist
Laut der offiziellen Warnung von Cisco liegt das Problem bei der Authentifizierung zwischen den Komponenten, die nicht so funktioniert, wie sie sollte. Ein entfernter, nicht authentifizierter Angreifer kann gezielt gebaute Anfragen senden und administrative Rechte erlangen. Auf einem Controller erhält er Zugriff als interner Benutzer mit hohen Rechten, aber nicht als root. Von dort erreicht er NETCONF und kann die Konfiguration des gesamten SD-WAN ändern.
Die Lücke betrifft Controller, Manager und Validator, unabhängig von der Konfiguration. Betroffen sind lokal installierte Systeme sowie die von Cisco gehosteten Clouds, einschließlich der von Cisco verwalteten Umgebungen und der FedRAMP-Umgebung. Laut The Hacker News hat Cisco den Validator am 16. Juni in die Warnung aufgenommen und erklärt, von einer begrenzten Ausnutzung zu wissen. Eine Alternative zum Patch gibt es nicht.
Wie arbeitet KeyDrift im Controller?
Beim traditionellen Schlüsselaustausch erzeugt jeder Router regelmäßig einen AES-Schlüssel für seinen Datenverkehr und sendet ihn an den Controller. Der Controller gibt ihn an die anderen Router weiter. Ein Prozess namens vdaemon verwaltet die verschlüsselten Steuerverbindungen, die diese Schlüssel transportieren.
PolyFlame und LittleFilch
KeyDrift besteht aus zwei Hauptkomponenten. PolyFlame läuft im Arbeitsspeicher innerhalb legitimer vdaemon-Prozesse. Es kann sich wie eine Backdoor im Stil von TinyShell verhalten, Befehle ausführen und Dateien lesen oder schreiben, oder als Relais zwischen dem Kommandoserver und anderen Maschinen dienen. In den analysierten Proben ist keine Serveradresse fest im Code hinterlegt.
LittleFilch hängt sich an vdaemon und liest die Steuernachrichten nach der Entschlüsselung. Für eine vorgegebene Liste von Edge-Routern extrahiert es IP-Adressen und ein 32-Byte-Feld, das Talos für AES-256-Schlüssel der IPsec-Tunnel hält. Alles wird mit RSA verschlüsselt, in /var/tmp/vdaemon.bin geschrieben und kann per UDP an eine Adresse gesendet werden, die aus einer Konfigurationsdatei stammt und nach der Nutzung gelöscht wird.
Wie die Malware installiert wird
Laut Talos gelangt KeyDrift vor allem über modifizierte runit-Skripte auf das System, mit denen Cisco-Geräte ihre Dienste starten. Das Skript des SSH-Dienstes startet einen Loader namens conf_sshd, und ein Werkzeug namens rsshd schleust PolyFlame in vdaemon-Prozesse ein. Auf einem kompromittierten Validator taucht zusätzlich ein gefälschter Dienst aaamgr auf. Die Angreifer nutzen außerdem Timestomping, also das Kopieren von Datum und Berechtigungen bestehender Dateien auf ihre eigenen.
Welche Versionen sind korrekt?
Cisco nennt für jede Linie die erste korrigierte Version. Die Liste der Linien, die nicht mehr gewartet werden, stammt aus The Hacker News.
- Vor 20.9 - auf eine korrigierte Version migrieren.
- 20.9 - 20.9.8.2.
- 20.11 - 20.12.6.1.
- 20.12 - 20.12.5.3 oder 20.12.6.1.
- 20.13, 20.14 und 20.15 - 20.15.4.2.
- 20.16 und 20.18 - 20.18.2.1.
Die Versionen vor 20.9 sowie die Linien 20.11, 20.13, 20.14 und 20.16 haben das Ende der Softwarepflege erreicht. Wer sie nutzt, muss auf eine unterstützte Version wechseln.
Bis dahin kann, wer eine lokale Installation betreibt, die Ports 22 und 830 mit ACLs, Firewallregeln oder Security Groups begrenzen und nur die bekannten IPs der Controller und der nötigen Hosts zulassen. Cisco erklärt, die Maßnahme habe in einer Testumgebung funktioniert, rät aber, sie im eigenen Netz zu prüfen. Für die von Cisco gehosteten Clouds sind diese Schutzmaßnahmen bereits aktiv.
Wer steckt hinter den Angriffen?
Talos ordnet KeyDrift der Gruppe UAT-11473 zu, die es auf Raumfahrt- und Satellitendienste, Verteidigungs- und Luftfahrttechnik sowie Forschungszentren für öffentliche Politik abgesehen hat. Laut BleepingComputer scheint sich die Gruppe mit dem Zugangsnetz Silent Train zu überschneiden, das mit Volt Typhoon in Verbindung gebracht wird. Talos zieht jedoch keine endgültigen Verbindungen.
Laut The Hacker News betrifft die Überschneidung die Infrastruktur. Silent Train ist der Name, den Black Lotus Labs von Lumen für ein Netz kompromittierter Geräte verwendet, darunter Geräte für kleine Büros, Heimnetze und IoT. Lumen behauptet, Volt Typhoon habe es genutzt, um die eigenen Aktivitäten zu verbergen, und habe CVE-2026-20127 bereits Ende 2025 ausgenutzt, also auch nach der Offenlegung im Februar. Lumen verknüpft diese Aktivität jedoch nicht mit KeyDrift.
Grenzen, die du kennen solltest
Vieles bleibt offen. Talos beschreibt die früheren Angriffe, sagt aber nicht, wann sie stattfanden oder ob tatsächlich Schlüssel abgeflossen sind. Die Konfigurationsdatei mit der Zieladresse wurde nicht gefunden. Der Bericht enthält keine Datei-Hashes, IP-Adressen oder Domains, die für die Suche nützlich wären.
Unklar ist auch, wie UAT-11473 mit UAT-8616 zusammenhängt, der im Februar genannten Gruppe. Ebenso wenig ist klar, ob das Update KeyDrift von einem bereits kompromittierten Gerät entfernt oder ob die Schlüssel ersetzt werden müssen. Das Sperren der Ports beseitigt außerdem keine bereits vorhandene Malware. Cisco warnt, dass vor einem Update noch aktive Kompromittierungen bestehen können.
Was sich für alle ändert, die mit Digitaltechnik arbeiten
Wenn dein Unternehmen oder deine Kunden Catalyst SD-WAN nutzen, reicht das Update als einzige Maßnahme nicht aus. Du musst auch prüfen, ob sich jemand schon vorher Zugang verschafft hat. Cisco empfiehlt, /var/log/auth.log zu lesen und nach Einträgen mit Accepted publickey für vmanage-admin von unbekannten IPs zu suchen, und sie mit den System-IPs abzugleichen, die im Manager angezeigt werden.
Jedes Peering-Ereignis in den Logs sollte manuell geprüft werden. Kontrolliere Zeitpunkt im Verhältnis zu den Wartungsfenstern, öffentliche IP im Verhältnis zum Inventar, System-IP des Peers und Art des Peers. Bevor du beim Cisco TAC einen Fall eröffnest, führe auf jeder Steuerungskomponente den Befehl request admin-tech aus.
Für alle, die Server entwickeln und betreiben, gilt eine allgemeinere Lehre. Verschlüsselungsschlüssel sind genauso ein Ziel wie Passwörter, und ein System, das sie verteilt, muss isoliert und überwacht werden. Wenn du die Grundlagen auffrischen willst, lies unseren Leitfaden zum Signal-Protokoll für die Ende-zu-Ende-Verschlüsselung. Mit Hosting und verwalteten Servern mit Sicherheitsupdates verlagert sich das Thema Patches auf den Betreiber, muss aber trotzdem im Einzelfall geprüft werden.
Unsere Einschätzung
Für uns ist nicht die Malware der wichtigste Punkt, sondern die Zeit. Laut Cisco Talos reicht die Ausnutzung mindestens bis 2023 zurück, und Lumen spricht von Aktivitäten, die auch nach dem Februar andauerten. Ein veröffentlichter Patch schließt die Sache nicht ab, wenn jemand monatelang administrativen Zugriff hatte. Viele Organisationen betrachten das Update als Ende der Arbeit, hier ist es das nicht.
Auch die Kommunikation zum Danach überzeugt uns wenig. Die Hinweise, was zu tun ist, wenn man eine Kompromittierung findet, sind allgemein, und eine klare Antwort zum Austausch der Schlüssel fehlt. Für kleine italienische Unternehmen, die sich oft auf einen Netzanbieter verlassen, ohne die Logs je zu sehen, ist das ein echtes Problem. Dasselbe Risikoszenario für KMU haben wir in unserem Beitrag zu automatisierter offensiver Sicherheit für italienische KMU behandelt. Verlange von deinem Anbieter eine schriftliche Antwort, keine Beruhigung.
Häufig gestellte Fragen
Was ist CVE-2026-20127?
Es ist eine Lücke zur Umgehung der Authentifizierung in Cisco Catalyst SD-WAN mit CVSS-Wert 10.0. Sie erlaubt einem entfernten, nicht authentifizierten Angreifer, administrative Rechte zu erlangen. Cisco hat sie im Februar geschlossen.
Was ist KeyDrift?
Es ist ein von Cisco Talos beschriebenes Malware-Framework für SD-WAN-Controller. Es dient dazu, dauerhaften Zugriff zu halten, den Steuerverkehr abzufangen und Verschlüsselungsschlüssel zu kopieren. Es besteht aus zwei Komponenten, PolyFlame und LittleFilch.
Gibt es eine Alternative zum Update?
Nein. Cisco erklärt, dass es keine Workarounds gibt. Für lokale Installationen existiert eine vorübergehende Entschärfung, nämlich die Ports 22 und 830 auf bekannte IPs zu begrenzen, sie ersetzt den Patch aber nicht.
Wie erkenne ich, ob ich kompromittiert wurde?
Prüfe /var/log/auth.log auf Accepted publickey für vmanage-admin von unbekannten IPs. Gleiche sie mit den System-IPs im Manager ab und validiere jedes Peering-Ereignis. Wenn du Hinweise findest, eröffne nach dem Ausführen von request admin-tech einen Fall beim Cisco TAC.
Ist die von Cisco gehostete Cloud sicher?
Nicht vollständig. Die gehosteten Cloud-Installationen gehören zu den betroffenen Systemen. Cisco erklärt jedoch, dass für diese die Schutzmaßnahmen an den Ports bereits aktiv sind.
Was du in den kommenden Monaten in deinem SD-WAN prüfen solltest
In den kommenden Monaten lohnt es sich, die Updates von Talos zu Indikatoren für Kompromittierung und zur Bereinigung bereits betroffener Geräte zu verfolgen. Drei praktische Schritte.
- Prüfe deine Version und wechsle auf eine korrigierte und noch unterstützte Version, ausgehend von der Tabelle von Cisco.
- Suche in den Authentifizierungslogs und in den von Talos genannten Dateien nach früheren Spuren und bewahre die admin-tech-Dateien für das TAC auf.
- Begrenze die Ports 22 und 830 auf bekannte IPs und frage deinen Anbieter, ob der Austausch der Schlüssel geplant ist. Für externe Unterstützung findest du die Services der Agentur Meteora Web.
