Hackers hebben een kritieke kwetsbaarheid in Cisco Catalyst SD-WAN uitgebuit, die in februari werd opgelost, om aangepaste malware te plaatsen in de systemen die het SD-WAN-netwerk van een organisatie beheren.
De malware, genaamd KeyDrift, is ontworpen om de sleutels die het verkeer tussen locaties versleutelen te kopiëren en op te slaan voor later gebruik, aldus Cisco Talos op 28 oktober. Talos noemt de aanvallen historisch, maar specificeert niet wanneer ze plaatsvonden of of er sleutels zijn verzonden.
De kwetsbaarheid staat geregistreerd als CVE-2026-20127 en heeft een CVSS-score van 10,0. Ze maakt het een ongeauthenticeerde externe aanvaller mogelijk om authenticatie te omzeilen en administratieve rechten te verkrijgen op deze control-systemen. Op een Controller kan de aanvaller inloggen als een intern account met hoge rechten dat geen root is.
Toen Cisco de kwetsbaarheid in februari publiceerde, volgde Talos de exploitatie onder de aanduiding UAT-8616, een cluster van activiteiten waarvan ze zeggen dat die ten minste teruggaat tot 2023.
In Cisco’s traditionele sleuteluitwisseling genereert elke SD-WAN-router periodiek een AES-sleutel voor zijn verkeer en stuurt die naar de Catalyst SD-WAN Controller (voorheen vSmart). De Controller geeft die sleutels door aan andere routers. Een proces op de Controller dat vdaemon heet, verzorgt de versleutelde control-verbindingen die deze sleutels transporteren.
Op een gecompromitteerde Controller haakt een KeyDrift-component genaamd LittleFilch in op vdaemon en leest control-berichten nadat ze zijn ontsleuteld. Voor een vooraf ingestelde lijst met edge-routers haalt het hun IP-adressen en een veld van 32 bytes eruit. Talos beoordeelt dat veld als het AES-256-sleutelmateriaal dat de Controller tussen routers doorgeeft.
LittleFilch versleutelt wat het verzamelt met RSA en schrijft het naar een bestand. Het kan die gegevens vervolgens via UDP verzenden naar een adres dat in een instellingenbestand staat vermeld, dat het na het lezen verwijdert. Talos kon dat instellingenbestand niet terugvinden.
De groep achter KeyDrift, die Talos volgt als UAT-11473, heeft zich gericht op ruimte- en satellietdiensten, defensie- en lucht- en ruimtevaarttechnologie, en beleidsgericht onderzoek.
De infrastructuur van de groep “overlappt aanzienlijk” met Silent Train, aldus Talos met grote zekerheid. Silent Train is de naam die Lumen’s Black Lotus Labs gebruikt voor een netwerk van gehackte kleine kantoort, thuis- en IoT-apparaten en zakelijke apparatuur.
Lumen zegt dat Volt Typhoon het netwerk gebruikte om zijn activiteiten te verbergen. CISA, de NSA en de FBI verklaarden in 2024 dat Volt Typhoon een door de Chinese staat gesponsorde cybergroep is.
Talos koppelt UAT-11473 aan Volt Typhoon alleen via de infrastructuuroverlap. Ze zeggen niet dat de twee groepen identiek zijn, noch hoe UAT-11473 zich verhoudt tot UAT-8616, de cluster die in februari werd gerapporteerd.
Afzonderlijk meldde Lumen op 28 oktober dat Volt Typhoon CVE-2026-20127 al eind 2025 misbruikte en dat de exploitatie doorging nadat Cisco de kwetsbaarheid in februari bekendmaakte. Lumen koppelt die activiteit niet aan KeyDrift.
KeyDrift begint in hoofdzaak via aangepaste runit-scripts die Cisco SD-WAN-apparaten gebruiken om hun services te starten, aldus Talos. In één variant start het script voor de SSH-service een loader-script, conf_sshd, voordat de echte SSH-server wordt gestart. Het conf_sshd-script schrijft de proces-ID’s van vdaemon naar een bestand, en een hulpmiddel genaamd rsshd injecteert KeyDrift’s hoofdmodule, PolyFlame, in elk van die processen.
PolyFlame draait in het geheugen binnen vdaemon. Het kan functioneren als een TinyShell-achtige achterdeur die commando’s uitvoert en bestanden leest en schrijft, of als een relais dat commando’s doorstuurt tussen zijn command-server en andere machines. Het is zo gebouwd dat het commando’s accepteert binnen SD-WAN-controlverkeer, en de onderzochte monsters bevatten geen hardgecodeerd serveradres.
Op een gecompromitteerde Validator (voorheen vBond) draait een valse aaamgr-service onder /etc/sv/aaamgr/ die een gepakte loader, aaamgrd, uitvoert die PolyFlame ontsleutelt en start. Cisco’s echte aaamgr-component is een Python-pakket en draait normaal gesproken niet als een gecompileerde service.
Er zijn ook aanwijzingen voor timestomping: commando’s die de groep uitvoerde kopieerden de tijdstempels en permissies van bestaande bestanden naar hun eigen bestanden.
Getroffen releases en fixes
CVE-2026-20127 treft de Catalyst SD-WAN Controller (voorheen vSmart), Manager (voorheen vManage) en Validator (voorheen vBond), ongeacht hun configuratie. Zowel on-premises systemen als de door Cisco gehoste SD-WAN-cloudimplementaties zijn getroffen, inclusief de Cisco Managed- en FedRAMP-omgevingen. Cisco voegde de Validator op 16 juni toe aan zijn advies.
Cisco zegt op de hoogte te zijn van beperkte exploitatie van de kwetsbaarheid. Er is geen workaround en de eerste releases met fixes zijn:
| Release train | Eerste release met fix |
|---|---|
| Earlier than 20.9 | Migrate to a fixed release |
| 20.9 | 20.9.8.2 |
| 20.11 | 20.12.6.1 |
| 20.12 | 20.12.5.3 or 20.12.6.1 |
| 20.13 | 20.15.4.2 |
| 20.14 | 20.15.4.2 |
| 20.15 | 20.15.4.2 |
| 20.16 | 20.18.2.1 |
| 20.18 | 20.18.2.1 |
Releases eerder dan 20.9 en de 20.11-, 20.13-, 20.14- en 20.16-trains hebben het einde van softwareonderhoud bereikt.
Totdat ze kunnen upgraden, kunnen on-premises klanten de toegang tot poorten 22 en 830 beperken tot de IP-adressen van bekende controllers en andere bekende systemen. Cisco zegt dat deze stap in een testomgeving werkte, maar dat klanten moeten controleren hoe goed het in hun eigen netwerken werkt. Dergelijke bewakingsmaatregelen zijn al ingesteld voor Cisco’s gehoste SD-WAN-cloudimplementaties.
Het blokkeren van de poorten verwijdert geen malware die al op een apparaat aanwezig is.
Controleren op KeyDrift
Talos raadt organisaties aan om Cisco’s fixes te installeren, Cisco’s Catalyst SD-WAN hardening-gids te volgen en te letten op tekenen van activiteit na een compromittering. Iedereen die dergelijke tekenen vindt, moet incidentrespons starten en kan Cisco’s Technical Assistance Center (TAC) om hulp vragen.
Dat advies zegt niet of een upgrade KeyDrift verwijdert van een apparaat dat al gecompromitteerd was, of of sleutels vervangen moeten worden. Cisco’s herstelgids van februari voor deze kwetsbaarheid waarschuwt dat er “bestaande exploits die nog steeds aanwezig kunnen zijn” van vóór een upgrade kunnen bestaan.
KeyDrift gebruikt de volgende bestanden en locaties, sommige alleen bij naam genoemd:
- Bestand: het
run-script onderetc/sv/sshd/, aangepast omconf_sshdte starten - Directory:
/etc/sv/aaamgr/, een valse service op een gecompromitteerde Validator - Bestand:
aaamgrd, de gepakte loader - Bestand:
conf_sshd, het loader-script - Bestand:
rsshd, de injector - Bestand:
libdssl.so, PolyFlame - Bestand:
libcommon.so, LittleFilch - Bestand:
/tmp/system-vdaemon, de lijst met vdaemon-proces-ID’s - Bestand:
/var/tmp/vdaemon.bin, LittleFilch’s versleutelde records - Bestand:
/var/tmp/vdaemon.conf, LittleFilch’s verzendinstellingen, verwijderd na lezen
Het rapport van Talos bevat geen lijst met bestands-hashes, IP-adressen of domeinen voor KeyDrift.
Talos publiceerde op 28 oktober Snort-regels die zoeken naar inkomende KeyDrift command-and-control-verbindingen: 67387 tot 67416 voor Snort 2, en 7:44 tot 7:73 voor Snort 3. Regels 65938 en 65958, die al beschikbaar waren, behandelen CVE-2026-20127 zelf.
De regelupdate van 28 oktober vermeldt de Snort 2-regels als standaard uitgeschakeld, dus gebruikers van de betaalde Snort Subscriber-rule set moeten ze inschakelen. De Snort 3-regels verschijnen zonder standaardstatus.
Om te controleren op exploitatie van de kwetsbaarheid zelf, zegt Cisco te zoeken in /var/log/auth.log naar Accepted publickey for vmanage-admin-vermeldingen van onbekende IP-adressen. Voordat ze een TAC-zaak openen, moeten klanten op elk control-component request admin-tech uitvoeren. De herstelgids raadt ook aan die admin-tech-bestanden opnieuw te scannen met de Check Bug Applicability-functie op de Bug Search Tool-pagina voor bug CSCws52722.
Voor Amerikaanse federale civiele agentschappen stelt CISA’s noodrichtlijn van 25 februari vast wat te doen als een root-accountcompromis wordt gevonden. Zij moeten dit rapporteren aan CISA, nieuwe Manager-, Controller- en Validator-instanties uit gepatchte images uitrollen en hun edge-routers naar de nieuwe systemen verplaatsen.
