Détails de l'attaque et du logiciel malveillant
Les recherches de Cisco (Cisco Talos) ont révélé l'activité d'un groupe de menace avancé (APT) connu sous le nom d'UAT-11473, qui exploite une vulnérabilité de sécurité critique portant la référence CVE-2026-20127 dans les contrôleurs Cisco Catalyst SD-WAN. Cette vulnérabilité, classée comme présentant le niveau de gravité le plus élevé, permet aux attaquants de contourner l'authentification et d'obtenir des privilèges d'accès, ce qui leur permet d'ajouter des appareils non autorisés au réseau.
Les attaquants utilisent un framework logiciel personnalisé appelé KeyDrift, spécifiquement conçu pour fonctionner au sein des environnements de contrôle SD-WAN. Ce framework se compose de deux composants principaux : PolyFlame, responsable de l'exécution des commandes et du contrôle des communications, et LittleFilch, qui intercepte le trafic de données chiffrées et extrait des clés de chiffrement sensibles (telles que les clés AES-256 IPsec).
Pourquoi cette nouvelle est-elle importante ?
La gravité de cette attaque réside dans la nature des cibles visées, qui comprennent des secteurs sensibles tels que les services spatiaux et satellitaires, les technologies de défense et d'aéronautique, ainsi que des institutions de recherche politique. La capacité de KeyDrift à fonctionner au sein des opérations de contrôle SD-WAN offre aux attaquants un accès persistant et à long terme, avec la possibilité d'extraire des données sensibles de manière automatisée et chiffrée, rendant la détection de l'intrusion extrêmement difficile.
Les estimations indiquent un chevauchement potentiel entre le groupe UAT-11473 et le réseau d'accès secret connu sous le nom de "Silent Train", associé au groupe Volt Typhoon, ce qui renforce les craintes concernant la persistance des attaques ciblant l'infrastructure des réseaux mondiaux.
Que doivent faire les administrateurs ?
Cisco a émis des avertissements clairs aux administrateurs de systèmes leur demandant de prendre des mesures immédiates pour protéger leurs réseaux :
- Appliquer d'urgence les mises à jour de sécurité disponibles pour la vulnérabilité CVE-2026-20127.
- Examiner et suivre le guide de durcissement (Hardening Guide) des produits Catalyst SD-WAN fourni par l'entreprise.
- Surveiller les opérations inhabituelles au sein des contrôleurs, en particulier celles liées aux fichiers système ou aux processus d'injection de code.
Cet incident souligne l'importance de mettre à jour régulièrement l'infrastructure réseau, car le recours à des privilèges d'accès valides après l'intrusion initiale reste un défi majeur pour les outils de défense traditionnels.