Ing. Calogero Bono
Cisco Talos a publié le 28 octobre une analyse de KeyDrift, un malware conçu pour s'exécuter à l'intérieur des contrôleurs Cisco Catalyst SD-WAN. Les attaquants entrent en exploitant CVE-2026-20127, une faille de contournement de l'authentification au score CVSS de 10.0 que Cisco a corrigée en février. Le but du malware est de copier les clés qui chiffrent le trafic entre les sites d'une organisation. Cela concerne tous ceux qui gèrent des réseaux d'entreprise géographiques, car la cible est le cerveau du réseau et non un simple routeur.
Quelques termes avant d'entrer dans les faits. SD-WAN est un réseau géographique géré par logiciel, qui relie sites et succursales. Le Controller (autrefois vSmart) distribue les règles et les clés, le Manager (vManage) administre l'ensemble, le Validator (vBond) authentifie les appareils. NETCONF est un protocole permettant de modifier la configuration d'équipements réseau. Un APT est un groupe d'attaquants avancé et persistant, souvent lié à un État. Le contournement de l'authentification permet d'entrer sans connaître aucun mot de passe.
Ce qui s'est passé avec CVE-2026-20127
Selon l'avis officiel de Cisco, le problème vient de l'authentification entre les composants, qui ne fonctionne pas comme elle le devrait. Un attaquant distant et non authentifié peut envoyer des requêtes soigneusement construites et obtenir des privilèges d'administrateur. Sur un Controller, il peut accéder en tant qu'utilisateur interne à haut privilège, mais pas en root. De là, il atteint NETCONF et peut modifier la configuration de l'ensemble du réseau SD-WAN.
La faille touche Controller, Manager et Validator, quelle que soit la configuration. Sont concernées les installations sur site ainsi que les clouds hébergés par Cisco, y compris ceux gérés par Cisco et l'environnement FedRAMP. Selon The Hacker News, Cisco a ajouté le Validator à l'avis le 16 juin et déclare avoir connaissance d'une exploitation limitée. Il n'existe aucune solution de contournement à la correction.
Comment fonctionne KeyDrift à l'intérieur du contrôleur ?
Dans le mécanisme traditionnel d'échange de clés, chaque routeur génère périodiquement une clé AES pour son trafic et l'envoie au Controller. Le Controller la transmet aux autres routeurs. Un processus appelé vdaemon gère les connexions de contrôle chiffrées qui transportent ces clés.
PolyFlame et LittleFilch
KeyDrift comporte deux composants principaux. PolyFlame s'exécute en mémoire à l'intérieur des processus vdaemon légitimes. Il peut se comporter comme une backdoor de type TinyShell, en exécutant des commandes et en lisant ou écrivant des fichiers, ou servir de relais entre le serveur de commande et d'autres machines. Les échantillons analysés ne contiennent pas d'adresse de serveur écrite dans le code.
LittleFilch s'accroche à vdaemon et lit les messages de contrôle après leur déchiffrement. Pour une liste prédéfinie de routeurs de bordure, il extrait les adresses IP et un champ de 32 octets que Talos pense être du matériel de clés AES-256 des tunnels IPsec. Il chiffre le tout avec RSA, l'écrit dans /var/tmp/vdaemon.bin et peut l'envoyer en UDP vers une adresse lue dans un fichier de paramètres, supprimé après usage.
Comment il s'installe
Selon Talos, KeyDrift s'installe surtout via des scripts runit modifiés, ceux que les appareils Cisco utilisent pour lancer les services. Le script du service SSH lance un chargeur appelé conf_sshd, et un outil appelé rsshd injecte PolyFlame dans les processus vdaemon. Sur un Validator compromis apparaît en revanche un faux service aaamgr. Les attaquants recourent aussi au timestomping, c'est-à-dire qu'ils copient dates et permissions de fichiers existants sur les leurs.
Quelles versions sont corrigées ?
Cisco indique la première version corrigée pour chaque branche. Le décompte des branches hors maintenance est celui rapporté par The Hacker News.
- Antérieures à la 20.9 - migrer vers une version corrigée.
- 20.9 - 20.9.8.2.
- 20.11 - 20.12.6.1.
- 20.12 - 20.12.5.3 ou 20.12.6.1.
- 20.13, 20.14 et 20.15 - 20.15.4.2.
- 20.16 et 20.18 - 20.18.2.1.
Les versions antérieures à la 20.9 ainsi que les branches 20.11, 20.13, 20.14 et 20.16 ont atteint la fin de la maintenance logicielle. Ceux qui les utilisent doivent passer à une version prise en charge.
En attendant, qui gère une installation sur site peut limiter les ports 22 et 830 avec des ACL, des règles de pare-feu ou des groupes de sécurité, en n'autorisant que les adresses IP connues des contrôleurs et des hôtes nécessaires. Cisco affirme que la mesure a fonctionné dans un environnement de test, mais invite à la vérifier sur ton propre réseau. Pour les clouds hébergés par Cisco, ces protections sont déjà actives.
Qui se cache derrière les attaques ?
Talos attribue KeyDrift au groupe UAT-11473, qui a visé des services spatiaux et satellitaires, des technologies de défense et d'aérospatiale, et des centres de recherche sur les politiques publiques. Selon BleepingComputer, le groupe semble se recouper avec le réseau d'accès occulte appelé Silent Train, lié à Volt Typhoon, mais Talos n'établit pas de lien définitif.
Pour The Hacker News, le recoupement concerne l'infrastructure. Silent Train est le nom que Black Lotus Labs de Lumen utilise pour un réseau d'appareils compromis, parmi lesquels des équipements de petits bureaux, domestiques et IoT. Lumen affirme que Volt Typhoon l'utilisait pour dissimuler ses activités et qu'il exploitait CVE-2026-20127 dès la fin 2025, y compris après la divulgation de février. Lumen ne relie toutefois pas cette activité à KeyDrift.
Limites à connaître
Beaucoup de points restent ouverts. Talos décrit les attaques passées, mais ne dit ni quand elles ont eu lieu ni si certaines clés ont réellement été envoyées. Le fichier de paramètres contenant l'adresse de destination n'a pas été récupéré. Le rapport ne comprend ni hachages de fichiers, ni adresses IP, ni domaines utiles à la recherche de traces.
On ne sait pas comment UAT-11473 se rapporte à UAT-8616, le groupe mentionné en février. On ne sait pas non plus si la mise à jour supprime KeyDrift d'un appareil déjà compromis, ni si les clés doivent être remplacées. Bloquer les ports, de plus, n'élimine pas un malware déjà présent. Cisco avertit qu'avant une mise à jour, des compromissions encore actives peuvent exister.
Ce qui change pour ceux qui travaillent avec le numérique
Si ton entreprise ou tes clients utilisent Catalyst SD-WAN, la mise à jour ne suffit pas à elle seule. Il faut vérifier si quelqu'un est entré avant. Cisco conseille de consulter /var/log/auth.log et de chercher les entrées Accepted publickey pour vmanage-admin provenant d'adresses IP inconnues, en les comparant aux System IP affichés dans le Manager.
Chaque événement de peering dans les journaux doit être validé à la main. Vérifie l'heure par rapport aux fenêtres de maintenance, l'IP publique par rapport à l'inventaire, l'IP système du peer et le type de peer. Avant d'ouvrir un dossier auprès du Cisco TAC, exécute la commande request admin-tech sur chaque composant de contrôle.
Pour ceux qui développent et gèrent des serveurs, une leçon plus large s'applique. Les clés de chiffrement sont une cible au même titre que les mots de passe, et un système qui les distribue doit être isolé et surveillé. Si tu veux revoir les principes, nous en parlons dans le guide sur le protocole Signal pour le chiffrement de bout en bout. Avec un hébergement et des serveurs gérés avec mises à jour de sécurité, la question des correctifs passe à celui qui les administre, mais reste à vérifier au cas par cas.
Notre avis
Pour nous, le point le plus grave n'est pas le malware, mais le temps. Selon Cisco Talos, l'exploitation remonte à 2023 au moins, et Lumen parle d'une activité continue même après février. Un correctif publié ne clôt pas l'affaire si quelqu'un a eu un accès administrateur pendant des mois. Beaucoup d'organisations considèrent la mise à jour comme la fin du travail, et ici ce n'est pas le cas.
La communication sur la suite nous paraît également peu satisfaisante. Les indications sur quoi faire en cas de compromission sont génériques, et il manque une réponse claire sur le remplacement des clés. Pour les petites entreprises italiennes, qui s'en remettent souvent à un fournisseur réseau sans voir les journaux, c'est un vrai problème. Nous avons traité le même scénario de risque pour les PME dans notre article sur ce que signifie la sécurité offensive automatisée pour les PME italiennes. Demande à ton fournisseur une réponse écrite, pas une simple assurance.
Questions fréquentes
Qu'est-ce que CVE-2026-20127 ?
C'est une faille de contournement de l'authentification dans Cisco Catalyst SD-WAN, au score CVSS de 10.0. Elle permet à un attaquant distant et non authentifié d'obtenir des privilèges d'administrateur. Cisco l'a corrigée en février.
Qu'est-ce que KeyDrift ?
C'est un framework malveillant décrit par Cisco Talos, conçu pour les contrôleurs SD-WAN. Il sert à maintenir un accès persistant, intercepter le trafic de contrôle et copier les clés de chiffrement. Il comporte deux composants, PolyFlame et LittleFilch.
Existe-t-il une solution de contournement à la mise à jour ?
Non. Cisco déclare qu'il n'existe aucun workaround. Pour les installations sur site, une mesure temporaire existe, à savoir limiter les ports 22 et 830 aux adresses IP connues, mais elle ne remplace pas le correctif.
Comment savoir si j'ai été compromis ?
Consulte /var/log/auth.log en cherchant Accepted publickey pour vmanage-admin depuis des adresses IP inconnues. Compare-les aux System IP dans le Manager et valide chaque événement de peering. Si tu trouves des signaux, ouvre un dossier auprès du Cisco TAC après avoir exécuté request admin-tech.
Le cloud hébergé par Cisco est-il sûr ?
Pas totalement. Les installations cloud hébergées figurent parmi celles touchées par la faille. Cisco déclare toutefois que pour celles-ci, les protections sur les ports sont déjà actives.
Ce qu'il faut vérifier dans les prochains mois sur ton réseau SD-WAN
Dans les prochains mois, il est utile de suivre les mises à jour de Talos sur les indicateurs de compromission et sur la remise en état des appareils déjà touchés. Trois actions concrètes.
- Vérifie ta version et passe à une version corrigée et encore prise en charge, en partant du tableau de Cisco.
- Recherche des traces antérieures dans les journaux d'authentification et dans les fichiers indiqués par Talos, et conserve les fichiers admin-tech pour le TAC.
- Limite les ports 22 et 830 aux adresses IP connues et demande à ton fournisseur s'il a prévu le remplacement des clés. Pour un soutien externe, découvre les services de l'agence Meteora Web.
