Детали атаки и вредоносное ПО
Исследования компании Cisco (Cisco Talos) выявили активность продвинутой постоянной угрозы (APT), известной как UAT-11473, которая эксплуатирует критическую уязвимость под кодом CVE-2026-20127 в контроллерах Cisco Catalyst SD-WAN. Эта уязвимость, классифицированная как имеющая наивысший уровень опасности, позволяет злоумышленникам обходить аутентификацию и получать привилегированный доступ, что дает им возможность добавлять неавторизованные устройства в сеть.
Злоумышленники используют специализированный программный фреймворк под названием KeyDrift, который разработан специально для работы в средах управления SD-WAN. Этот фреймворк состоит из двух основных компонентов: PolyFlame, отвечающего за выполнение команд и управление связью, и LittleFilch, который осуществляет перехват зашифрованного трафика и извлечение конфиденциальных ключей шифрования (таких как ключи AES-256 IPsec).
Почему эта новость важна?
Опасность этой атаки заключается в характере целей, которые она преследует. Сюда входят такие чувствительные секторные направления, как космические и спутниковые услуги, оборонные и аэрокосмические технологии, а также политические исследовательские институты. Способность KeyDrift работать внутри процессов управления SD-WAN предоставляет злоумышленникам долгосрочный и устойчивый доступ с возможностью автоматического и зашифрованного извлечения конфиденциальных данных, что делает обнаружение взлома крайне сложным.
Оценки указывают на возможное пересечение между группой UAT-11473 и скрытой сетью доступа под названием «Silent Train», связанной с группировкой Volt Typhoon, что усиливает опасения по поводу продолжающихся атак на глобальную сетевую инфраструктуру.
Что должны сделать администраторы?
Компания Cisco выпустила четкие предупреждения для системных администраторов о необходимости принятия срочных мер по защите своих сетей:
- В экстренном порядке применить доступные обновления безопасности для уязвимости CVE-2026-20127.
- Изучить и следовать руководству по укреплению систем (Hardening Guide) для продуктов Catalyst SD-WAN, предоставляемому компанией.
- Мониторить необычные процессы внутри контроллеров, особенно те, которые связаны с системными файлами или операциями внедрения кода.
Этот инцидент подчеркивает важность регулярного обновления сетевой инфраструктуры, поскольку опора на легитимные привилегии доступа после первоначального взлома по-прежнему представляет собой серьезную проблему для традиционных средств защиты.