KeyDrift malware'sı CVSS 10.0 puanlı Cisco SD-WAN açığını kullanarak router'ların şifreleme anahtarlarını çaldı

SD-WAN kontrol düzleminde en yüksek düzeyde bir güvenlik açığı

Cisco Talos, 28 Ekim'de saldırganların CVE-2026-20127 olarak takip edilen, en yüksek düzey bir güvenlik açığını kullanarak bir kuruluşun SD-WAN'ını çalıştıran sistemlere KeyDrift adlı özel bir malware yerleştirdiğini açıkladı. dev.to'nun haberine göre bu açık, kimliği doğrulanmamış uzaktan bir saldırganın yapılandırmadan bağımsız olarak Controller (eski adıyla vSmart), Manager (eski adıyla vManage) ve Validator (eski adıyla vBond) üzerinde kimlik doğrulamayı atlayıp yönetici ayrıcalıkları elde etmesine imkân veriyor. Hem on-premises hem de Cisco tarafından barındırılan dağıtımlar risk altında; buna Cisco Managed ve FedRAMP ortamları da dahil. Cisco, 16 Haziran'da Validator'ı danışma belgesine ekledi ve sınırlı istismardan haberdar olduğunu belirtti. Açık Şubat ayında giderildi, ancak Talos KeyDrift saldırılarını geçmişte kalmış olaylar olarak nitelendiriyor ve tarih, kurban sayısı ya da herhangi bir anahtarın ağ dışına çıktığının doğrulanmasına dair bilgi vermiyor.

KeyDrift anahtarları nasıl topluyor

Cisco'nun SD-WAN tasarımında her router, trafiği için periyodik olarak bir AES anahtarı üretir ve bunu diğer router'lara dağıtan Controller'a gönderir. Bu anahtarlar, vdaemon adlı bir Controller sürecinin yönettiği şifreli kontrol bağlantıları üzerinden taşınır; bu da vdaemon'u ideal bir kesme noktası haline getirir. LittleFilch adlı KeyDrift bileşeni bu sürece yerleşir ve kontrol mesajlarını çözüldükten sonra okur. Önceden tanımlanmış bir edge router listesi için IP adreslerini ve Talos'un AES-256 anahtar malzemesi olduğu değerlendirmesini yaptığı 32 baytlık alanı çıkarır. Veriler RSA ile şifrelenip bir dosyaya yazılır ve malware, bunu okuduktan sonra sildiği bir ayar dosyasında tuttuğu adrese UDP üzerinden gönderebilir. Talos o dosyayı kurtaramadığı için çalınan anahtarların varış noktası bilinmiyor. Önceden tanımlı router listesi, toplu hırsızlık yerine seçici toplama yapıldığına işaret ediyor.

Kalıcılık, backdoor ve anti-forensics

KeyDrift esas olarak değiştirilmiş runit servis scriptleri üzerinden başlatılıyor. Bir varyantta, SSH başlangıç scripti gerçek SSH sunucusundan önce conf_sshd adlı bir loader'ı çalıştırıyor; bu loader vdaemon süreç kimliklerini kaydediyor ve rsshd adlı bir injector daha sonra ana modül olan PolyFlame'i bu süreçlerin her birine enjekte ediyor. PolyFlame tamamen vdaemon içinde bellekte yaşar ve komut çalıştırmak ile dosya okumak veya yazmak için TinyShell tarzı bir backdoor ya da kontrol sunucusu ile diğer makineler arasında komut ileten bir relay olarak işlev görebilir. Komutları sıradan SD-WAN kontrol trafiğine gömülü şekilde alır ve analiz edilen örneklerde sabit kodlanmış bir sunucu adresi bulunmaz; bu da savunmacılara kolayca engelleyebilecekleri bir şey bırakmaz. Validator'larda ise sahte bir aaamgr servisi, paketlenmiş bir loader olan aaamgrd'yi çalıştırır; bu da PolyFlame'i çözüp başlatır. Operatörler ayrıca meşru dosyaların zaman damgalarını ve izinlerini kendi dosyalarına kopyalamış; bu timestomping tekniği, bir soruşturma sırasında dosya tarihi kanıtlarını zayıflatıyor.

Atıf Volt Typhoon altyapısına işaret ediyor

Talos operatörleri UAT-11473 olarak takip ediyor; bu grup uzay ve uydu servisleri, savunma ve havacılık teknolojisi ile politika araştırmalarını hedeflemiş. Talos, yüksek güvenle grubun altyapısını, Lumen'in Black Lotus Labs'ın adlandırdığı, ele geçirilmiş SOHO, IoT ve iş cihazlarından oluşan Silent Train ağına bağlıyor. Lumen, CISA, NSA ve FBI tarafından 2024'te Çin devleti destekli bir grup olarak tanımlanan Volt Typhoon'un bu ağı örtü olarak kullandığını söylemişti. Volt Typhoon bağlantısı yalnızca altyapı örtüşmesine dayanıyor ve Talos ikisinin aynı grup olduğunu iddia etmiyor. Ayrıca Lumen 28 Ekim'de Volt Typhoon'un CVE-2026-20127'yi 2025 sonuna kadar istismar etmeye başladığını ve Cisco'nun Şubat açıklamasından sonra da devam ettiğini, ancak bu etkinliği KeyDrift'e bağlamadığını bildirdi.

Yamalar mevcut, temizlik garanti değil

Bir geçici çözüm yok. Cisco'nun ilk düzeltilmiş sürümleri 20.9.8.2, 20.12.5.3 veya 20.12.6.1, 20.15.4.2 ve 20.18.2.1. 20.9'dan eski sürümleri veya 20.11, 20.13, 20.14 ve 20.16 kullanan müşteriler yazılım bakım desteğinin sonunu geçmiş durumda ve bir nokta güncellemesi yerine sürüm treni geçişi yapmak zorundalar. Geçici bir önlem olarak on-premises müşteriler 22 ve 830 portlarına erişimi yalnızca bilinen kontrolcüler ve sistemlerle sınırlayabilir; ancak Cisco, etkinliğinin her ağda doğrulanması gerektiğini ve port engellemenin cihazda halihazırda bulunan malware'ı kaldırmayacağını belirtiyor. Cisco'nun Şubat remediation kılavuzu ayrıca yükseltmeden önce istismarların zaten yerleşik olabileceği konusunda uyarmıştı. Yayınlanan göstergeler arasında etc/sv/sshd altındaki değiştirilmiş scriptler, sahte /etc/sv/aaamgr/ dizini, conf_sshd ve aaamgrd loader'ları, rsshd injector'ü, libdssl.so (PolyFlame) ve libcommon.so (LittleFilch) modülleri ile /tmp/system-vdaemon süreç listesi yer alıyor.

Neden önemli

SD-WAN kontrol düzlemindeki CVSS 10.0 puanlı, kimlik doğrulamasız bir açık, mümkün olan en kötü kurumsal maruziyete yakın: erişilebilir tek bir uç nokta, saldırgana siteler arası trafiğin nasıl yönlendirildiği ve şifrelendiği konusunda yönetici kontrolü veriyor. KeyDrift bu erişimi, siteler arası trafiği koruyan AES anahtarlarını toplama yeteneğine dönüştürüyor; dolayısıyla anahtarları ele geçirilmiş bir Controller üzerinden geçmiş herhangi bir router için, yamalansa bile şifrelemenin sağlam olduğu varsayılamaz. Satıcı kılavuzu, yükseltmenin malware'ı kaldırıp kaldırmadığını ya da anahtarların değiştirilmesi gerekip gerekmediğini söylemiyor; saldırı tarihleri, kurban sayısı ve doğrulanmış herhangi bir veri sızdırma olayı da açıklanmış değil. Şubat öncesinde açık kontrol sistemleri çalıştırmış kuruluşlar yamalamayı ilk adım olarak görmeli: yayınlanan göstergeleri aramalı, port kısıtlamalarını doğrulamalı ve daha önce paylaşılmış anahtarların toplanmış olabileceğini varsaymalıdır.