Details zum Angriff und zur Schadsoftware
Untersuchungen von Cisco Talos haben die Aktivität einer Advanced Persistent Threat (APT)-Gruppe namens UAT-11473 aufgedeckt, die eine schwerwiegende Sicherheitslücke mit dem Bezeichner CVE-2026-20127 in Cisco Catalyst SD-WAN-Controllern ausnutzt. Diese als äußerst kritisch eingestufte Schwachstelle ermöglicht es Angreifern, die Authentifizierung zu umgehen und privilegierte Zugriffsberechtigungen zu erlangen, wodurch sie unautorisierte Geräte zum Netzwerk hinzufügen können.
Die Angreifer verwenden ein maßgeschneidertes Software-Framework namens KeyDrift, das speziell für den Betrieb innerhalb von SD-WAN-Steuerungsumgebungen entwickelt wurde. Dieses Framework besteht aus zwei Hauptkomponenten: PolyFlame, das für die Befehlsausführung und Kommunikationssteuerung verantwortlich ist, und LittleFilch, das den verschlüsselten Datenverkehr abfängt und sensitive Verschlüsselungsschlüssel (wie AES-256-IPsec-Schlüssel) extrahiert.
Warum diese Nachricht wichtig ist
Die Gefährlichkeit dieses Angriffs liegt in der Natur der Ziele, die sensible Sektoren wie Raumfahrt- und Satellitendienste, Verteidigungs- und Luftfahrttechnologien sowie politische Forschungseinrichtungen umfassen. Die Fähigkeit von KeyDrift, innerhalb von SD-WAN-Steuerungsvorgängen zu arbeiten, verschafft Angreifern einen langfristigen und nachhaltigen Zugriff bei der Möglichkeit, sensible Daten automatisiert und verschlüsselt zu exfiltrieren, was die Entdeckung des Einbruchs äußerst schwierig macht.
Schätzungen deuten auf eine mögliche Überschneidung zwischen der Gruppe UAT-11473 und dem verdeckten Zugangsnetzwerk namens "Silent Train" hin, das mit der Gruppe Volt Typhoon verbunden ist, was die Bedenken hinsichtlich anhaltender Angriffe auf globale Netzwerkinfrastrukturen verstärkt.
Was Administratoren tun sollten
Cisco hat klare Warnungen an Systemadministratoren herausgegeben, unverzüglich Maßnahmen zum Schutz ihrer Netzwerke zu ergreifen:
- Dringende Anwendung der verfügbaren Sicherheitsupdates für die Schwachstelle CVE-2026-20127.
- Überprüfung und Befolgung des vom Unternehmen bereitgestellten Härtungsleitfadens (Hardening Guide) für Catalyst SD-WAN-Produkte.
- Überwachung ungewöhnlicher Vorgänge innerhalb der Controller, insbesondere solcher im Zusammenhang mit Systemdateien oder Code-Injektionsprozessen.
Dieser Vorfall unterstreicht, wie wichtig es ist, die Netzwerkinfrastruktur regelmäßig zu aktualisieren, da die Abhängigkeit von gültigen Zugriffsberechtigungen nach dem Ersteinbruch weiterhin eine große Herausforderung für herkömmliche Verteidigungswerkzeuge darstellt.