Ing. Calogero Bono
Cisco Talos ha pubblicato il 28 ottobre un'analisi su KeyDrift, un malware progettato per girare dentro i controller di Cisco Catalyst SD-WAN. Gli aggressori entrano sfruttando CVE-2026-20127, una falla di bypass dell'autenticazione con punteggio CVSS 10.0 che Cisco ha corretto a febbraio. Lo scopo del malware è copiare le chiavi che cifrano il traffico tra le sedi di un'organizzazione. Conta per chiunque gestisca reti aziendali geografiche, perché il punto colpito è il cervello della rete e non un singolo router.
几个术语，进入正题前先了解。SD-WAN是一种通过软件管理的地理广域网，用来连接站点和分支机构。Controller（以前叫vSmart）负责分发规则和密钥，Manager（vManage）负责整体管理，Validator（vBond）负责认证设备。NETCONF是一种用于修改网络设备配置的协议。APT是一种高级且持续性的攻击团体，通常与某个国家有关。认证绕过是指无需知道任何密码即可进入系统。
Cosa è successo con CVE-2026-20127
根据思科官方公告，问题出在组件之间的认证环节，其运行方式并不正确。远程且未经认证的攻击者可以发送精心构造的请求，从而获得管理员权限。在Controller上，攻击者可以以内部高权限用户身份访问，但无法获得root权限。之后他们可以访问NETCONF，并修改整个SD-WAN网络的配置。
该漏洞影响Controller、Manager和Validator，与配置无关。本地部署的安装环境以及思科托管的云环境都受影响，包括思科管理的环境和FedRAMP环境。根据The Hacker News的报道，思科于6月16日将Validator加入公告，并表示已知悉有限的实际利用情况。目前没有补丁之外的替代方案。
Come funziona KeyDrift dentro il controller?
在传统的密钥交换机制中，每台路由器会定期生成用于自身流量的AES密钥，并将其发送给Controller。Controller再把密钥转发给其他路由器。一个名为vdaemon的进程负责管理承载这些密钥的加密控制连接。
PolyFlame e LittleFilch
KeyDrift有两个主要组件。PolyFlame以内存方式运行在合法的vdaemon进程中，可以像TinyShell风格的后门那样执行命令、读写文件，也可以充当指挥服务器与其他机器之间的中继。所分析的样本代码中并未写入服务器地址。
LittleFilch挂接到vdaemon上，在解密后读取控制消息。对于预先设定的一组边缘路由器，它会提取IP地址以及一个32字节的字段，Talos认为这是IPsec隧道的AES-256密钥材料。它使用RSA对所有内容加密，写入/var/tmp/vdaemon.bin，并可能通过UDP发送到从配置文件中读取的地址，发送后该配置文件会被删除。
Come si installa
据Talos介绍，KeyDrift主要通过被修改的runit脚本进行部署，思科设备正是用这些脚本启动服务。SSH服务的脚本会启动一个名为conf_sshd的加载器，而名为rsshd的工具会把PolyFlame注入到vdaemon进程中。在被攻陷的Validator上，则出现了一个伪装的aaamgr服务。攻击者还采用了时间戳篡改，即把已有文件的日期和权限复制到自己的文件上。
Quali versioni sono corrette?
思科为每个版本线标明了第一个修复版本。已停止维护版本线的信息引用自The Hacker News。
- 20.9之前的版本 - 迁移到已修复的版本。
- 20.9 - 20.9.8.2。
- 20.11 - 20.12.6.1。
- 20.12 - 20.12.5.3或20.12.6.1。
- 20.13、20.14和20.15 - 20.15.4.2。
- 20.16和20.18 - 20.18.2.1。
20.9之前的版本以及20.11、20.13、20.14和20.16版本线已结束软件维护。使用这些版本的用户必须升级到受支持的版本。
在等待升级期间，本地部署的用户可以通过ACL、防火墙规则或安全组限制22和830端口，只允许已知的控制器及必要主机的IP访问。思科表示该措施在测试环境中有效，但建议在自己的网络中进行验证。对于思科托管的云环境，这些防护已经生效。
Chi c'è dietro gli attacchi?
Talos将KeyDrift归属于UAT-11473组织，该组织曾瞄准太空和卫星服务、国防与航空航天技术以及公共政策研究中心。根据BleepingComputer的报道，该组织似乎与名为Silent Train的隐秘接入网络有重叠，该网络与Volt Typhoon有关，但Talos并未给出明确结论。
据The Hacker News介绍，这种重叠体现在基础设施层面。Silent Train是Lumen旗下Black Lotus Labs用来称呼一个被入侵设备网络的名称，其中包括小型办公室、家庭和物联网设备。Lumen称Volt Typhoon曾利用该网络隐藏其活动，并早在2025年底就利用CVE-2026-20127，即使在二月披露之后也是如此。不过Lumen并未将这些活动与KeyDrift联系起来。
Limiti da conoscere
许多问题仍然悬而未决。Talos描述了历史攻击，但没有说明它们发生的时间，也没有说明是否真的有密钥被发送出去。用于存放目标地址的配置文件并未被找到。报告中也没有包含可用于追踪的文件哈希、IP地址或域名。
目前尚不清楚UAT-11473与二月份提到的UAT-8616之间是什么关系。同样不清楚的是，升级是否会从已被入侵的设备中移除KeyDrift，以及是否需要更换密钥。此外，阻断端口并不能清除已经存在的恶意软件。思科提醒，在升级之前，可能仍存在活跃的入侵。
Cosa cambia per chi lavora con il digitale
如果你的公司或客户使用Catalyst SD-WAN，仅仅升级是不够的。还需要检查是否有人已经提前入侵。思科建议查看/var/log/auth.log，搜索来自未知IP、针对vmanage-admin的Accepted publickey记录，并与Manager中显示的System IP进行比对。
日志中的每一次对等事件都需要人工核实。请检查时间是否与维护窗口相符，公网IP是否与资产清单一致，对等体的系统IP以及对等体类型是否正确。在向Cisco TAC提交工单之前，请在每个控制组件上执行request admin-tech命令。
对于开发和管理服务器的人员，还有一个更广泛的教训。加密密钥和密码一样都是攻击目标，负责分发密钥的系统必须被隔离并受到监控。如果你想温习这些原则，可以阅读我们关于Signal端到端加密协议的指南。使用带安全更新的托管和服务器服务，补丁管理的责任会转移到管理方，但仍需逐案核实。
Il nostro parere
对我们来说，最严重的不是恶意软件，而是时间。据Cisco Talos称，攻击最早可追溯到2023年，Lumen则表示二月之后活动仍在持续。一个已发布的补丁并不能解决问题，如果有人在数月内拥有管理员访问权限。许多组织把升级当作工作的终点，但在这里并非如此。
我们也觉得事后的沟通不够令人满意。一旦发现入侵，应采取的措施描述得很笼统，而关于如何更换密钥的明确答复也缺失。对于经常依赖网络服务商而又看不到日志的意大利中小企业来说，这是一个真实的问题。同样的风险场景，我们在关于自动化攻防安全对意大利中小企业意味着什么的文章中也讨论过。请让你的服务商提供书面答复，而不是口头安慰。
Domande frequenti
CVE-2026-20127是什么？
它是Cisco Catalyst SD-WAN中的一个认证绕过漏洞，CVSS评分为10.0。远程且未经认证的攻击者可借此获得管理员权限。思科已于二月修复。
KeyDrift是什么？
它是Cisco Talos描述的一种恶意软件框架，专为SD-WAN控制器设计。它用于维持持久访问、截获控制流量并复制加密密钥。它由PolyFlame和LittleFilch两个组件构成。
升级之外有替代方案吗？
没有。思科表示不存在变通方法。对于本地部署，可以暂时限制22和830端口，仅允许已知IP访问，但这不能替代补丁。
如何判断自己是否已被入侵？
检查/var/log/auth.log，搜索来自未知IP、针对vmanage-admin的Accepted publickey记录。将其与Manager中的System IP比对，并核实每一次对等事件。如果发现异常迹象，请在执行request admin-tech后向Cisco TAC提交工单。
思科托管的云环境安全吗？
并非完全安全。托管的云安装也在受影响范围之内。不过思科表示，这些环境的端口防护已经生效。
Cosa controllare nei prossimi mesi sulla tua rete SD-WAN
未来几个月，建议持续关注Talos关于入侵指标和受感染设备清理的更新。以下是三项具体行动。
- 核对你的版本，并升级到已修复且仍受支持的版本，参考思科的表格。
- 在认证日志和Talos指明的文件中查找既往痕迹，并为TAC保存admin-tech文件。
- 将22和830端口限制在已知IP范围内，并询问服务商是否计划更换密钥。如需外部支持，可参考Meteora Web的服务。
