Saldırı ve Kötü Amaçlı Yazılım Detayları
Cisco Talos araştırmaları, UAT-11473 olarak bilinen gelişmiş bir tehdit grubunun (APT), Cisco Catalyst SD-WAN denetleyicilerindeki CVE-2026-20127 kodlu kritik bir güvenlik açığından yararlandığını ortaya koydu. En yüksek risk seviyesinde sınıflandırılan bu açık, saldırganların kimlik doğrulamasını atlamasına ve ayrıcalıklı erişim elde etmesine olanak tanıyarak ağa yetkisiz cihazlar eklemelerini sağlıyor.
Saldırganlar, özellikle SD-WAN kontrol ortamlarında çalışmak üzere tasarlanmış KeyDrift adı verilen özel bir yazılım çerçevesi kullanıyor. Bu çerçeve iki ana bileşenden oluşuyor: Komut yürütme ve iletişim kontrolünden sorumlu olan PolyFlame ve şifrelenmiş veri trafiğini keserek hassas şifreleme anahtarlarını (AES-256 IPsec anahtarları gibi) çıkaran LittleFilch.
Bu Haber Neden Önemli?
Bu saldırının tehlikesi; uzay ve uydu hizmetleri, savunma ve havacılık teknolojileri ile siyasi araştırma kurumları gibi hassas sektörleri hedef almasından kaynaklanmaktadır. KeyDrift'in SD-WAN kontrol işlemleri içinde çalışabilme yeteneği, saldırganlara uzun vadeli ve kalıcı bir erişim sağlarken, hassas verilerin otomatik ve şifrelenmiş bir şekilde çıkarılmasına imkan tanıyarak ihlalin tespit edilmesini son derece zorlaştırmaktadır.
Tahminler, UAT-11473 grubu ile Volt Typhoon grubuna bağlı olan ve "Silent Train" olarak bilinen gizli erişim ağı arasında olası bir örtüşme olduğuna işaret ediyor; bu durum, küresel ağ altyapısını hedef alan saldırıların devam etmesine yönelik endişeleri artırıyor.
Yöneticiler Ne Yapmalı?
Cisco, sistem yöneticilerine ağlarını korumak için acil önlemler almaları yönünde net uyarılarda bulundu:
- CVE-2026-20127 güvenlik açığı için mevcut güvenlik güncellemelerinin acilen uygulanması.
- Şirket tarafından sağlanan Catalyst SD-WAN ürünlerine ait sistem güçlendirme kılavuzunun (Hardening Guide) incelenmesi ve takip edilmesi.
- Denetleyiciler içerisindeki, özellikle sistem dosyaları veya kod enjeksiyonu operasyonları ile ilgili olağandışı işlemlerin izlenmesi.
Bu olay, ilk ihlalden sonra geçerli erişim yetkilerine güvenmenin geleneksel savunma araçları için büyük bir zorluk teşkil etmeye devam etmesi nedeniyle ağ altyapısının periyodik olarak güncellenmesinin önemini vurgulamaktadır.