攻撃とマルウェアの詳細
シスコ（Cisco Talos）の調査により、UAT-11473として知られる高度な持続的脅威（APT）グループの活動が明らかになりました。このグループは、Cisco Catalyst SD-WANコントローラーにおけるCVE-2026-20127というコードを持つ深刻なセキュリティ脆弱性を悪用しています。最高レベルの危険度と分類されたこの脆弱性により、攻撃者は認証をバイパスして特権的なアクセス権を取得し、ネットワークに不正なデバイスを追加することが可能になります。
攻撃者は、SD-WANの制御環境内で動作するように特別に設計されたKeyDriftと呼ばれるカスタムのソフトウェアフレームワークを使用しています。このフレームワークは2つの主要なコンポーネントで構成されています。コマンドの実行と通信の制御を担当するPolyFlameと、暗号化されたトラフィックを傍受してAES-256 IPsecキーなどの機密性の高い暗号化キーを抽出するLittleFilchです。
このニュースが重要な理由
この攻撃の深刻さは、宇宙・衛星サービス、防衛・航空技術、政治研究機関などの機密セクターを含むターゲットの性質にあります。SD-WANの制御プロセス内で動作するKeyDriftの能力により、攻撃者は長期的かつ持続的なアクセスを獲得し、機密データを自動的かつ暗号化された状態で抽出できるため、侵害の発見が非常に困難になります。
推計によると、UAT-11473グループと、Volt Typhoonグループに関連する「Silent Train」として知られる秘密アクセスネットワークの間には重複の可能性があると指摘されており、グローバルなネットワークインフラストラクチャを標的とした攻撃の継続に対する懸念が強まっています。
管理者が行うべき対策
シスコはシステム管理者に対し、ネットワークを保護するために直ちに行動を起こすよう明確な警告を発しています。
- 脆弱性CVE-2026-20127に対する利用可能なセキュリティアップデートを緊急に適用すること。
- シスコが提供するCatalyst SD-WAN製品のハードニングガイド（Hardening Guide）を確認し、それに従うこと。
- コントローラー内、特にシステムファイルやコードインジェクションに関連する異常なプロセスを監視すること。
このインシデントは、初期侵害後に有効なアクセス権に依存することが従来の防御ツールにとって依然として大きな課題であるため、ネットワークインフラストラクチャを定期的にアップデートすることの重要性を強調しています。