KeyDrift закреплялся в Cisco Catalyst SD-WAN и извлекал ключи шифрования

Злоумышленники эксплуатировали критическую уязвимость CVE-2026-20127 в Cisco Catalyst SD-WAN для закрепления на компонентах управления и установки вредоносного ПО KeyDrift. Оно предназначено для извлечения ключей шифрования трафика между узлами SD-WAN и их сохранения для дальнейшего использования.

Cisco Talos сообщила о находках 28 октября и назвала атаки историческими. Исследователи не раскрыли время инцидентов и не подтвердили, передавались ли перехваченные ключи операторам KeyDrift. Для российских организаций риск актуален при использовании затронутых компонентов Cisco Catalyst SD-WAN, однако подтверждённых атак на российские сети в опубликованных материалах нет.

Уязвимость и затронутые компоненты

CVE-2026-20127 получила максимальную оценку CVSS — 10,0. Уязвимость позволяет удалённому неаутентифицированному атакующему обойти аутентификацию и получить административные привилегии в системах управления Catalyst SD-WAN. На скомпрометированном контроллере атакующий может войти под внутренней высокопривилегированной учётной записью, не являющейся root.

Cisco раскрыла проблему в феврале. Тогда Talos начала отслеживать эксплуатацию как кластер UAT-8616; по оценке компании, его активность прослеживается как минимум с 2023 года.

Проблема затрагивает все конфигурации следующих компонентов:

• Catalyst SD-WAN Controller, ранее vSmart;
• Catalyst SD-WAN Manager, ранее vManage;
• Catalyst SD-WAN Validator, ранее vBond.

Уязвимы локальные инсталляции и облачные развёртывания SD-WAN, размещённые Cisco, включая Cisco Managed и FedRAMP. Cisco добавила Validator в уведомление об уязвимости 16 июня. Компания сообщает об ограниченном использовании CVE-2026-20127 в атаках; обходного решения нет.

Как KeyDrift извлекает ключи

В штатной схеме обмена ключами Cisco каждый SD-WAN-маршрутизатор периодически создаёт AES-ключ для собственного трафика и отправляет его на контроллер Catalyst SD-WAN. Контроллер передаёт ключи другим маршрутизаторам. Зашифрованные управляющие соединения, по которым идут эти данные, обслуживает процесс vdaemon.

На скомпрометированном контроллере компонент KeyDrift под названием LittleFilch подключается к vdaemon и читает управляющие сообщения после расшифрования. Для заранее определённого списка пограничных маршрутизаторов он извлекает IP-адреса и поле длиной 32 байта. Talos полагает, что это поле содержит AES-256-ключ, который контроллер передаёт между маршрутизаторами.

Собранные данные LittleFilch шифрует RSA и записывает в файл. Затем модуль может отправить сведения по UDP на адрес, указанный в конфигурационном файле. После чтения этот файл удаляется, и Talos не удалось его восстановить. Поэтому исследователи не установили адрес назначения, на который могла уходить собранная информация.

Закрепление в vdaemon и функции бэкдора

В изученных Talos случаях частым механизмом запуска KeyDrift были изменённые скрипты runit, используемые Cisco SD-WAN для старта служб. Это наблюдавшийся вариант закрепления, а не обязательный признак всех компрометаций. В одном из изученных вариантов скрипт службы SSH перед запуском штатного SSH-сервера выполняет загрузчик conf_sshd. Тот записывает идентификаторы процессов vdaemon в файл, после чего утилита rsshd внедряет основной модуль KeyDrift, PolyFlame, в каждый такой процесс.

PolyFlame работает в памяти внутри vdaemon. По данным Talos, он может использоваться как бэкдор, похожий на TinyShell: выполнять команды, читать и записывать файлы. Второй режим работы — ретрансляция команд между командным сервером и другими машинами. Модуль рассчитан на получение команд в управляющем трафике SD-WAN; в изученных образцах не было жёстко заданного адреса сервера управления.

На скомпрометированном Validator исследователи нашли поддельную службу aaamgr в каталоге /etc/sv/aaamgr/. Она запускает упакованный загрузчик aaamgrd, который расшифровывает и исполняет PolyFlame. Легитимный компонент Cisco aaamgr представляет собой пакет на Python и обычно не запускается как скомпилированная служба.

Talos также зафиксировала признаки подмены временных меток. Команды операторов копировали временные метки и права доступа существующих файлов на созданные ими файлы, что могло затруднить первичную проверку изменений на устройстве.

Атрибуция ограничена инфраструктурой

Talos отслеживает операторов KeyDrift под обозначением UAT-11473. В число их интересов, по данным исследователей, входят космические и спутниковые сервисы, оборонные и аэрокосмические технологии, а также исследования в области политики.

С высокой степенью уверенности Talos оценивает инфраструктуру UAT-11473 как значительно пересекающуюся с Silent Train. Так Black Lotus Labs компании Lumen называет сеть скомпрометированных устройств малого и домашнего офиса, IoT-устройств и корпоративного оборудования.

При планировании таких работ можно отдельно изучить в разделе услуг ИТБ по информационной безопасности доступные направления и сопоставить их с задачами своей организации.

По данным Lumen, эту сеть для сокрытия активности использовала Volt Typhoon. CISA, АНБ и ФБР в 2024 году заявляли, что Volt Typhoon — кибергруппа, поддерживаемая китайским государством.

При этом Talos связывает UAT-11473 с Volt Typhoon только через пересечение инфраструктуры. В отчёте не утверждается, что это одна и та же группа, и не объясняется связь UAT-11473 с UAT-8616 — кластером эксплуатации CVE-2026-20127, описанным Cisco в феврале.

Отдельно 28 октября Lumen сообщила, что Volt Typhoon эксплуатировала CVE-2026-20127 к концу 2025 года и продолжила эксплуатацию после февральского раскрытия Cisco. Lumen не связывает эту активность с KeyDrift. Таким образом, публичные данные указывают на эксплуатацию уязвимости и на отдельное исследование KeyDrift, но не устанавливают тождество всех упомянутых кластеров и операторов.

Исправленные версии и ограничение доступа

Cisco указала следующие первые исправленные версии:

| Линейка выпусков | Первая исправленная версия | | --- | --- | | До 20.9 | Переход на исправленную версию | | 20.9 | 20[.]9[.]8[.]2 | | 20.11 | 20[.]12[.]6[.]1 | | 20.12 | 20[.]12[.]5[.]3 или 20[.]12[.]6[.]1 | | 20.13 | 20[.]15[.]4[.]2 | | 20.14 | 20[.]15[.]4[.]2 | | 20.15 | 20[.]15[.]4[.]2 | | 20.16 | 20[.]18[.]2[.]1 | | 20.18 | 20[.]18[.]2[.]1 |

Для версий до 20.9, а также линеек 20.11, 20.13, 20.14 и 20.16 срок поддержки ПО истёк.

До обновления локальных развёртываний Cisco рекомендует ограничить доступ к портам 22 и 830: разрешить соединения только с IP-адресов известных контроллеров и других известных систем. Компания сообщает, что мера показала эффективность в тестовой среде, но предлагает проверить её применимость в конкретной сети. В облачных развёртываниях SD-WAN, размещённых Cisco, аналогичные меры уже реализованы.

Фильтрация портов не удаляет вредоносное ПО с уже скомпрометированного устройства. Поэтому закрытие доступа может снизить вероятность дальнейшей эксплуатации, но не является признаком отсутствия компрометации и не заменяет расследование.

Что искать при проверке

Talos рекомендует установить исправления, следовать руководству Cisco по усилению защиты Catalyst SD-WAN и отслеживать признаки посткомпрометационной активности. При их обнаружении следует начать реагирование на инцидент; при необходимости можно обратиться в Cisco TAC.

В рекомендациях не сказано, удаляет ли обновление KeyDrift с уже взломанного устройства и требуется ли замена каких-либо ключей. В опубликованном Cisco в феврале руководстве по устранению CVE-2026-20127 есть предупреждение, что до обновления могли существовать уже действующие эксплойты.

С KeyDrift связаны следующие частичные и вариантозависимые артефакты:

• изменённый скрипт run в каталоге etc/sv/sshd/, запускающий conf_sshd;
• /etc/sv/aaamgr/ — каталог поддельной службы на скомпрометированном Validator;
• aaamgrd — упакованный загрузчик;
• conf_sshd — скрипт-загрузчик;
• rsshd — средство внедрения;
• libdssl.so — PolyFlame;
• libcommon.so — LittleFilch;
• /tmp/system-vdaemon — список идентификаторов процессов vdaemon;
• /var/tmp/vdaemon.bin — зашифрованные записи LittleFilch;
• /var/tmp/vdaemon.conf — настройки отправки данных LittleFilch, удаляемые после чтения.

Отчёт Talos не содержит хешей файлов, IP-адресов или доменных имён, связанных с KeyDrift. Это ограничивает поиск по IOC. Отсутствие перечисленных файлов и путей само по себе не исключает компрометацию: конфигурация /var/tmp/vdaemon.conf удаляется после чтения, PolyFlame работает в памяти внутри vdaemon, а операторы могли подменять временные метки. Поэтому проверять следует также процессы, изменения в скриптах запуска и другие признаки активности.

28 октября Talos выпустила правила Snort для выявления входящих соединений управления KeyDrift: с 67387 по 67416 для Snort 2 и с 7:44 по 7:73 для Snort 3. Правила 65938 и 65958, опубликованные ранее, охватывают саму CVE-2026-20127.

В обновлении от 28 октября правила для Snort 2 отключены по умолчанию. Пользователям платного набора Snort Subscriber необходимо включить их вручную. Для правил Snort 3 статус по умолчанию не указан.

Для поиска признаков эксплуатации Cisco рекомендует проверить /var/log/auth.log на записи Accepted publickey for vmanage-admin, поступившие с неизвестных IP-адресов. Такое событие следует сопоставлять с утверждённой топологией, временем изменений и другими артефактами: неизвестный адрес может оказаться штатным при изменении адресов управления, NAT, VPN, резервной площадке или неактуальном списке разрешённых источников. В то же время атакующий может использовать известный адрес или скомпрометированный управляющий узел, а журналы могут быть удалены. Поэтому эта запись не является самостоятельным критерием эксплуатации или её отсутствия.

До открытия обращения в TAC следует выполнить request admin-tech на каждом компоненте управления. Руководство Cisco также предписывает повторно проверить собранные файлы admin-tech функцией Check Bug Applicability в Bug Search Tool для ошибки CSCws52722.

Для федеральных гражданских ведомств США чрезвычайная директива CISA от 25 февраля устанавливает отдельный порядок действий при выявлении компрометации учётной записи root: уведомить CISA, развернуть новые экземпляры Manager, Controller и Validator из исправленных образов и перевести пограничные маршрутизаторы на новые системы.

Организациям, использующим Cisco Catalyst SD-WAN, следует в первую очередь сопоставить версии всех трёх управляющих компонентов с исправленными релизами, проверить журналы и перечисленные артефакты. Одного закрытия портов или установки патча недостаточно, чтобы сделать вывод об отсутствии компрометации: Cisco прямо указывает, что ограничение доступа не удаляет уже внедрённое ПО, а механизм автоматического удаления KeyDrift с обновлённых устройств в опубликованных материалах не описан.