Ing. Calogero Bono
Cisco Talos heeft op 28 oktober een analyse gepubliceerd over KeyDrift, een malware die is ontworpen om binnen de controllers van Cisco Catalyst SD-WAN te draaien. Aanvallers komen binnen via CVE-2026-20127, een kwetsbaarheid voor omzeiling van authenticatie met een CVSS-score van 10.0 die Cisco in februari heeft verholpen. Het doel van de malware is de sleutels kopiëren die het verkeer tussen de vestigingen van een organisatie versleutelen. Dit is relevant voor iedereen die geografisch verspreide bedrijfsnetwerken beheert, omdat het getroffen punt het brein van het netwerk is en niet een enkele router.
Een paar termen, voordat we de feiten induiken. SD-WAN is een geografisch netwerk dat via software wordt beheerd en vestigingen en filialen verbindt. De Controller (vroeger vSmart) verdeelt de regels en sleutels, de Manager (vManage) beheert alles en de Validator (vBond) authenticeert de apparaten. NETCONF is een protocol om de configuratie van netwerkapparatuur te wijzigen. Een APT is een geavanceerde, volhardende groep aanvallers, vaak gelieerd aan een staat. Bij omzeiling van authenticatie kom je binnen zonder enig wachtwoord te kennen.
Wat er met CVE-2026-20127 is gebeurd
Volgens de officiële waarschuwing van Cisco zit het probleem in de authenticatie tussen de componenten, die niet werkt zoals het hoort. Een externe, niet-geauthenticeerde aanvaller kan speciaal opgestelde verzoeken sturen en zo beheerdersrechten krijgen. Op een Controller kan hij toegang krijgen als interne gebruiker met hoge privileges, maar niet als root. Vanaf daar bereikt hij NETCONF en kan hij de configuratie van het hele SD-WAN-netwerk wijzigen.
De kwetsbaarheid treft Controller, Manager en Validator, ongeacht de configuratie. Zowel on-premise installaties als clouds die door Cisco worden gehost zijn getroffen, inclusief de door Cisco beheerde omgevingen en de FedRAMP-omgeving. Volgens The Hacker News heeft Cisco de Validator op 16 juni aan de waarschuwing toegevoegd en meldt het bedrijf dat er beperkt misbruik bekend is. Er bestaat geen alternatief voor de patch.
Hoe werkt KeyDrift binnen de controller?
In het traditionele sleutelmechanisme genereert elke router periodiek een AES-sleutel voor het eigen verkeer en stuurt die naar de Controller. De Controller geeft die door aan de andere routers. Een proces genaamd vdaemon beheert de versleutelde controleverbindingen die deze sleutels vervoeren.
PolyFlame en LittleFilch
KeyDrift bestaat uit twee hoofdcomponenten. PolyFlame draait in het geheugen binnen de legitieme vdaemon-processen. Het kan zich gedragen als een backdoor in de stijl van TinyShell, die commando's uitvoert en bestanden leest of schrijft, of doorgeven tussen de command-and-controlserver en andere machines. De onderzochte samples bevatten geen serveradres dat in de code is opgeslagen.
LittleFilch hangt zich aan vdaemon en leest de controleberichten na ontsleuteling. Voor een vooraf bepaalde lijst van randrouters haalt het de IP-adressen en een veld van 32 bytes op, waarvan Talos denkt dat het het AES-256-sleutelmateriaal van de IPsec-tunnels is. Alles wordt met RSA versleuteld, weggeschreven naar /var/tmp/vdaemon.bin en kan via UDP worden verstuurd naar een adres dat uit een instellingenbestand wordt gelezen en na gebruik wordt verwijderd.
Hoe het wordt geïnstalleerd
Volgens Talos verspreidt KeyDrift zich vooral via gewijzigde runit-scripts, de scripts waarmee Cisco-apparaten diensten opstarten. Het script van de SSH-dienst start een loader genaamd conf_sshd, en een hulpmiddel genaamd rsshd injecteert PolyFlame in de vdaemon-processen. Op een gecompromitteerde Validator verschijnt daarnaast een nep-dienst aaamgr. De aanvallers gebruiken ook timestomping, dat wil zeggen ze kopiëren datums en rechten van bestaande bestanden naar hun eigen bestanden.
Welke versies zijn gecorrigeerd?
Cisco geeft voor elke lijn de eerste gecorrigeerde release aan. De lijst met lijnen die niet meer worden onderhouden is die van The Hacker News.
- Vóór 20.9 - migreren naar een gecorrigeerde release.
- 20.9 - 20.9.8.2.
- 20.11 - 20.12.6.1.
- 20.12 - 20.12.5.3 of 20.12.6.1.
- 20.13, 20.14 en 20.15 - 20.15.4.2.
- 20.16 en 20.18 - 20.18.2.1.
De releases vóór 20.9 en de lijnen 20.11, 20.13, 20.14 en 20.16 hebben het einde van het softwareonderhoud bereikt. Wie die gebruikt, moet overstappen naar een ondersteunde versie.
In afwachting daarvan kan wie een on-premise installatie beheert de poorten 22 en 830 beperken met ACL's, firewallregels of security groups, en alleen de bekende IP-adressen van de controllers en de noodzakelijke hosts toestaan. Cisco meldt dat de maatregel in een testomgeving heeft gewerkt, maar adviseert om dat in het eigen netwerk te controleren. Voor de door Cisco gehoste clouds zijn deze beveiligingen al actief.
Wie zit achter de aanvallen?
Talos koppelt KeyDrift aan de groep UAT-11473, die zich richtte op ruimtevaart- en satellietdiensten, technologie voor defensie en luchtvaart, en onderzoekscentra voor overheidsbeleid. Volgens BleepingComputer lijkt de groep te overlappen met het verborgen toegangsnetwerk Silent Train, dat aan Volt Typhoon is gekoppeld, maar Talos legt geen definitieve verbanden.
Volgens The Hacker News betreft de overlap de infrastructuur. Silent Train is de naam die Black Lotus Labs van Lumen gebruikt voor een netwerk van gecompromitteerde apparaten, waaronder apparatuur voor kleine kantoren, thuisgebruik en IoT. Lumen stelt dat Volt Typhoon dat netwerk gebruikte om zijn activiteiten te verbergen en dat het CVE-2026-20127 al eind 2025 misbruikte, ook na de bekendmaking in februari. Lumen koppelt die activiteit echter niet aan KeyDrift.
Beperkingen om te kennen
Veel zaken blijven open. Talos beschrijft de historische aanvallen, maar zegt niet wanneer ze plaatsvonden of of er sleutels daadwerkelijk zijn verstuurd. Het instellingenbestand met het doeladres is niet teruggevonden. Het rapport bevat geen bestandshashes, IP-adressen of domeinen die nuttig zijn voor het opsporen van aanvallen.
Het is niet duidelijk hoe UAT-11473 zich verhoudt tot UAT-8616, de groep die in februari werd genoemd. Het is ook niet duidelijk of de update KeyDrift van een reeds gecompromitteerd apparaat verwijdert, en of de sleutels moeten worden vervangen. Het blokkeren van poorten verwijdert bovendien geen malware die al aanwezig is. Cisco waarschuwt dat er vóór een update nog actieve compromitteringen kunnen bestaan.
Wat verandert er voor wie met digitale technologie werkt
Als je bedrijf of je klanten Catalyst SD-WAN gebruiken, is de update niet de enige stap. Je moet ook controleren of iemand al eerder is binnengekomen. Cisco adviseert om /var/log/auth.log te lezen en te zoeken naar regels Accepted publickey voor vmanage-admin vanaf onbekende IP-adressen, en die te vergelijken met de System IP's in de Manager.
Elke peering-gebeurtenis in de logs moet handmatig worden gevalideerd. Controleer het tijdstip ten opzichte van de onderhoudsvensters, het publieke IP-adres ten opzichte van de inventaris, het systeem-IP van de peer en het type peer. Voordat je een zaak bij de Cisco TAC opent, voer je het commando request admin-tech uit op elke controlecomponent.
Voor wie software ontwikkelt en servers beheert, geldt een bredere les. Coderingssleutels zijn een doelwit net zo goed als wachtwoorden, en een systeem dat ze verdeelt moet worden geïsoleerd en gemonitord. Als je de principes wilt herhalen, lees dan onze gids over het Signal-protocol voor end-to-end-versleuteling. Met hosting en beheerde servers met beveiligingsupdates verschuift het thema van de patches naar wie ze beheert, maar het moet per geval worden gecontroleerd.
Onze mening
Voor ons is het ernstigste punt niet de malware, maar de tijd. Volgens Cisco Talos gaat het misbruik terug tot minstens 2023, en Lumen spreekt over voortdurende activiteit ook na februari. Een gepubliceerde patch sluit de kwestie niet af als iemand maandenlang beheerderstoegang heeft gehad. Veel organisaties behandelen de update als het einde van het werk, en hier is dat niet zo.
Ook de communicatie over wat daarna moet gebeuren stelt teleur. De richtlijnen voor wat je moet doen als je een compromittering vindt, zijn algemeen, en er ontbreekt een duidelijk antwoord over het vervangen van sleutels. Voor kleine Italiaanse bedrijven, die vaak op een netwerkleverancier vertrouwen zonder de logs te zien, is dit een reëel probleem. Hetzelfde risicoscenario voor het mkb hebben we behandeld in ons artikel over wat geautomatiseerde offensieve beveiliging betekent voor Italiaanse mkb-bedrijven. Vraag je leverancier om een schriftelijk antwoord, niet om een geruststelling.
Veelgestelde vragen
Wat is CVE-2026-20127?
Het is een kwetsbaarheid voor omzeiling van authenticatie in Cisco Catalyst SD-WAN, met een CVSS-score van 10.0. Ze stelt een externe, niet-geauthenticeerde aanvaller in staat om beheerdersrechten te krijgen. Cisco heeft haar in februari verholpen.
Wat is KeyDrift?
Het is een malwareframework dat door Cisco Talos is beschreven en ontworpen is voor SD-WAN-controllers. Het dient om persistente toegang te behouden, het controleverkeer te onderscheppen en coderingssleutels te kopiëren. Het bestaat uit twee componenten, PolyFlame en LittleFilch.
Is er een alternatief voor de update?
Nee. Cisco meldt dat er geen workarounds zijn. Voor on-premise installaties is er een tijdelijke maatregel, namelijk het beperken van de poorten 22 en 830 tot bekende IP-adressen, maar die vervangt de patch niet.
Hoe weet ik of ik ben gecompromitteerd?
Controleer /var/log/auth.log op regels Accepted publickey voor vmanage-admin vanaf onbekende IP-adressen. Vergelijk ze met de System IP's in de Manager en valideer elke peering-gebeurtenis. Als je signalen vindt, open dan een zaak bij de Cisco TAC nadat je request admin-tech hebt uitgevoerd.
Is de door Cisco gehoste cloud veilig?
Niet helemaal. Gehoste cloudinstallaties behoren tot de getroffen omgevingen. Cisco meldt echter dat voor deze omgevingen de poortbeveiligingen al actief zijn.
Waar je in de komende maanden op je SD-WAN-netwerk op moet letten
In de komende maanden is het verstandig de updates van Talos te volgen over indicatoren van compromittering en het opschonen van reeds getroffen apparaten. Drie praktische acties.
- Controleer je release en ga over naar een gecorrigeerde en nog ondersteunde versie, startend van de tabel van Cisco.
- Zoek naar sporen uit het verleden in de authenticatielogs en in de bestanden die Talos noemt, en bewaar de admin-tech-bestanden voor de TAC.
- Beperk de poorten 22 en 830 tot bekende IP-adressen en vraag je leverancier of de vervanging van de sleutels gepland is. Voor externe ondersteuning vind je de diensten van het bureau Meteora Web.
