Ing. Calogero Bono
Cisco Talos opublikował 28 października analizę KeyDrift, malware zaprojektowanego do działania wewnątrz kontrolerów Cisco Catalyst SD-WAN. Napastnicy wchodzą, wykorzystując CVE-2026-20127, lukę w omijaniu uwierzytelniania z wynikiem CVSS 10.0, którą Cisco załatał w lutym. Celem malware jest skopiowanie kluczy szyfrujących ruch między oddziałami organizacji. Ma to znaczenie dla każdego, kto zarządza geograficznie rozproszonymi sieciami firmowymi, bo atakowany jest mózg sieci, a nie pojedynczy router.
Kilka terminów, zanim przejdziemy do faktów. SD-WAN to geograficzna sieć zarządzana programowo, która łączy siedziby i oddziały. Kontroler (dawniej vSmart) rozdziela reguły i klucze, Manager (vManage) administruje wszystkim, a Validator (vBond) uwierzytelnia urządzenia. NETCONF to protokół służący do zmiany konfiguracji urządzeń sieciowych. APT to zaawansowana, uporczywa grupa atakujących, często powiązana z jakimś państwem. Obejście uwierzytelniania pozwala wejść bez znajomości jakiegokolwiek hasła.
Co się stało z CVE-2026-20127
Według oficjalnego komunikatu Cisco, problem leży w uwierzytelnianiu między komponentami, które nie działa tak, jak powinno. Zdalny, nieuwierzytelniony napastnik może wysłać spreparowane żądania i uzyskać uprawnienia administracyjne. Na kontrolerze może działać jako wewnętrzny użytkownik o wysokich uprawnieniach, ale nie jako root. Stamtąd dociera do NETCONF i może zmienić konfigurację całej sieci SD-WAN.
Luka dotyczy kontrolerów, managerów i validatorów, niezależnie od konfiguracji. Obejmuje instalacje lokalne (on-premise) oraz chmury hostowane przez Cisco, w tym te zarządzane przez Cisco i środowisko FedRAMP. Według The Hacker News, Cisco dodał Validator do komunikatu 16 czerwca i deklaruje, że wie o ograniczonym wykorzystywaniu luki. Nie istnieje żadne obejście inne niż łatka.
Jak KeyDrift działa wewnątrz kontrolera?
W tradycyjnym mechanizmie wymiany kluczy każdy router okresowo generuje klucz AES dla swojego ruchu i wysyła go do kontrolera. Kontroler przekazuje go pozostałym routerom. Proces o nazwie vdaemon obsługuje szyfrowane połączenia kontrolne, które przenoszą te klucze.
PolyFlame i LittleFilch
KeyDrift ma dwa główne komponenty. PolyFlame działa w pamięci, wewnątrz legalnych procesów vdaemon. Może zachowywać się jak backdoor w stylu TinyShell, wykonując polecenia i odczytując lub zapisując pliki, albo pełnić rolę przekaźnika między serwerem dowodzenia a innymi maszynami. Analizowane próbki nie zawierają zapisanego w kodzie adresu serwera.
LittleFilch podłącza się do vdaemon i odczytuje wiadomości kontrolne po odszyfrowaniu. Dla z góry ustalonej listy routerów brzegowych wyciąga adresy IP oraz pole 32 bajtów, które według Talos to materiał kluczy AES-256 tuneli IPsec. Wszystko szyfruje algorytmem RSA, zapisuje do /var/tmp/vdaemon.bin i może wysłać to przez UDP na adres odczytany z pliku ustawień, który jest kasowany po użyciu.
Jak się instaluje
Według Talos KeyDrift trafia przede wszystkim przez zmodyfikowane skrypty runit, czyli te, których urządzenia Cisco używają do uruchamiania usług. Skrypt usługi SSH uruchamia loader o nazwie conf_sshd, a narzędzie rsshd wstrzykuje PolyFlame do procesów vdaemon. Na przejętym Validatorze pojawia się natomiast fałszywa usługa aaamgr. Napastnicy stosują też timestomping, czyli kopiują daty i uprawnienia istniejących plików na swoje.
Które wersje są poprawne?
Cisco wskazuje pierwsze poprawne wydanie dla każdej linii. Lista linii wycofanych z obsługi pochodzi z The Hacker News.
- Wcześniejsze niż 20.9 - przejdź na poprawne wydanie.
- 20.9 - 20.9.8.2.
- 20.11 - 20.12.6.1.
- 20.12 - 20.12.5.3 lub 20.12.6.1.
- 20.13, 20.14 i 20.15 - 20.15.4.2.
- 20.16 i 20.18 - 20.18.2.1.
Wydania wcześniejsze niż 20.9 oraz linie 20.11, 20.13, 20.14 i 20.16 zakończyły już wsparcie serwisowe. Jeśli z nich korzystasz, przejdź na wersję objętą wsparciem.
Do czasu aktualizacji, jeśli zarządzasz instalacją lokalną, możesz ograniczyć porty 22 i 830 listami ACL, regułami zapory lub grupami zabezpieczeń, zezwalając tylko na znane adresy IP kontrolerów i niezbędnych hostów. Cisco twierdzi, że środek zadziałał w środowisku testowym, ale zaleca sprawdzenie go we własnej sieci. Dla chmur hostowanych przez Cisco te zabezpieczenia są już aktywne.
Kto stoi za atakami?
Talos przypisuje KeyDrift grupie UAT-11473, która atakowała firmy z branży usług kosmicznych i satelitarnych, technologii obronnej i lotniczo-kosmicznej oraz ośrodki badań nad polityką publiczną. Według BleepingComputer, grupa wydaje się pokrywać z siecią ukrytego dostępu o nazwie Silent Train, powiązaną z Volt Typhoon, ale Talos nie ustala ostatecznych powiązań.
Według The Hacker News nakładanie się dotyczy infrastruktury. Silent Train to nazwa, jaką Black Lotus Labs z Lumen nadaje sieci przejętych urządzeń, w tym sprzętu do małych biur, domowego i IoT. Lumen twierdzi, że Volt Typhoon wykorzystywał ją do ukrywania działań i że już pod koniec 2025 roku wykorzystywał CVE-2026-20127, nawet po ujawnieniu luki w lutym. Lumen nie łączy jednak tej aktywności z KeyDrift.
Ograniczenia, o których warto wiedzieć
Wiele kwestii pozostaje otwartych. Talos opisuje historyczne ataki, ale nie podaje, kiedy miały miejsce ani czy jakiekolwiek klucze zostały faktycznie wysłane. Nie odzyskano pliku ustawień z adresem docelowym. Raport nie zawiera skrótów plików, adresów IP ani domen przydatnych do wykrywania.
Nie wiadomo, jak UAT-11473 ma się do UAT-8616, grupy wskazanej w lutym. Nie jest też jasne, czy aktualizacja usuwa KeyDrift z już przejętego urządzenia ani czy klucze trzeba wymienić. Samo zablokowanie portów nie usuwa zresztą malware, który już jest obecny. Cisco ostrzega, że przed aktualizacją mogą istnieć wciąż aktywne kompromitacje.
Co się zmienia dla osób pracujących w świecie cyfrowym
Jeśli twoja firma lub twoi klienci korzystają z Catalyst SD-WAN, sama aktualizacja nie wystarczy. Trzeba sprawdzić, czy ktoś wszedł wcześniej. Cisco radzi przejrzeć /var/log/auth.log i poszukać wpisów Accepted publickey dla vmanage-admin z nieznanych adresów IP, porównując je z adresami System IP widocznymi w Managerze.
Każde zdarzenie peeringu w logach trzeba zweryfikować ręcznie. Sprawdź godzinę względem okien serwisowych, publiczny adres IP względem inwentarza, adres IP systemu peera oraz typ peera. Zanim otworzysz zgłoszenie w Cisco TAC, uruchom polecenie request admin-tech na każdym komponencie kontrolnym.
Dla osób tworzących i utrzymujących serwery płynie z tego szersza lekcja. Klucze szyfrujące są równie cennym celem jak hasła, a system, który je rozdziela, musi być odizolowany i monitorowany. Jeśli chcesz odświeżyć podstawy, zajrzyj do przewodnika o protokole Signal i szyfrowaniu end-to-end. Przy hostingu i zarządzanych serwerach z aktualizacjami bezpieczeństwa odpowiedzialność za łatki przechodzi na administratora, ale każdy przypadek trzeba sprawdzić osobno.
Nasza opinia
Dla nas najpoważniejszy problem to nie sam malware, ale czas. Według Cisco Talos wykorzystywanie sięga co najmniej 2023 roku, a Lumen mówi o działaniach trwających także po lutym. Załatana luka nie zamyka sprawy, jeśli ktoś przez miesiące miał dostęp administracyjny. Wiele organizacji traktuje aktualizację jako koniec pracy, a tutaj to dopiero początek.
Słabo wypada też komunikacja dotycząca dalszych kroków. Wskazówki, co robić po wykryciu kompromitacji, są ogólne, a brakuje jasnej odpowiedzi w sprawie wymiany kluczy. Dla włoskich małych firm, które często powierzają sieć dostawcy bez wglądu w logi, to realny problem. Ten sam scenariusz ryzyka dla MŚP opisywaliśmy w tekście o tym, co oznacza zautomatyzowane bezpieczeństwo ofensywne dla włoskich MŚP. Poproś swojego dostawcę o odpowiedź na piśmie, a nie o zapewnienie słowne.
Najczęstsze pytania
Czym jest CVE-2026-20127?
To luka w omijaniu uwierzytelniania w Cisco Catalyst SD-WAN, z wynikiem CVSS 10.0. Pozwala zdalnemu, nieuwierzytelnionemu napastnikowi uzyskać uprawnienia administracyjne. Cisco załatał ją w lutym.
Czym jest KeyDrift?
To zestaw malware opisany przez Cisco Talos, przeznaczony dla kontrolerów SD-WAN. Służy do utrzymywania trwałego dostępu, przechwytywania ruchu kontrolnego i kopiowania kluczy szyfrujących. Składa się z dwóch komponentów, PolyFlame i LittleFilch.
Czy istnieje rozwiązanie alternatywne dla aktualizacji?
Nie. Cisco deklaruje, że obejść nie ma. Dla instalacji lokalnych istnieje tymczasowe złagodzenie, czyli ograniczenie portów 22 i 830 do znanych adresów IP, ale nie zastępuje ono łatki.
Jak mogę sprawdzić, czy zostałem zaatakowany?
Przejrzyj /var/log/auth.log, szukając Accepted publickey dla vmanage-admin z nieznanych adresów IP. Porównaj je z adresami System IP w Managerze i zweryfikuj każde zdarzenie peeringu. Jeśli znajdziesz sygnały, otwórz zgłoszenie w Cisco TAC po uruchomieniu request admin-tech.
Czy chmura hostowana przez Cisco jest bezpieczna?
Nie do końca. Hostowane instalacje chmurowe należą do tych, których dotyczy luka. Cisco deklaruje jednak, że dla nich zabezpieczenia portów są już aktywne.
Co sprawdzić w najbliższych miesiącach w swojej sieci SD-WAN
W najbliższych miesiącach warto śledzić aktualizacje Talos dotyczące wskaźników kompromitacji oraz oczyszczania urządzeń, które już zostały dotknięte. Trzy praktyczne kroki.
- Sprawdź swoją wersję i przejdź na poprawną, wciąż wspieraną release, zaczynając od tabeli Cisco.
- Szukaj śladów wcześniejszej aktywności w logach uwierzytelniania i w plikach wskazanych przez Talos, a pliki admin-tech zachowaj dla TAC.
- Ogranicz porty 22 i 830 do znanych adresów IP i zapytaj dostawcę, czy zaplanował wymianę kluczy. Wsparcie zewnętrzne znajdziesz w usługach agencji Meteora Web.
