攻击与恶意软件详情
思科（Cisco Talos）的研究揭示了一个被称为 UAT-11473 的高级持续性威胁（APT）团伙的活动，该团伙正在利用 Cisco Catalyst SD-WAN 控制器中一个代号为 CVE-2026-20127 的严重安全漏洞。该漏洞被评为最高严重级别，允许攻击者绕过身份验证并获得特权访问权限，从而能够在网络中添加未授权的设备。
攻击者使用了一个名为 KeyDrift 的定制软件框架，该框架专门设计用于 SD-WAN 控制环境内运行。该框架由两个主要组件组成：负责执行命令和控制通信的 PolyFlame，以及负责拦截加密数据流量并提取敏感加密密钥（如 AES-256 IPsec 密钥）的 LittleFilch。
为什么这条新闻很重要？
此次攻击的严重性在于其目标性质，其中包括航天和卫星服务、国防与航空航天技术以及政治研究机构等敏感部门。KeyDrift 在 SD-WAN 控制操作内部运行的能力赋予了攻击者长期且持续的访问权限，并能够以自动化和加密的方式提取敏感数据，这使得发现入侵变得极其困难。
据估计，UAT-11473 团伙与同 Volt Typhoon 团伙相关的被称为“Silent Train”的秘密访问网络之间可能存在重叠，这加剧了人们对针对全球网络基础设施的持续攻击的担忧。
管理员应该怎么做？
思科已向系统管理员发出明确警告，要求其采取立即行动保护网络：
- 紧急应用针对 CVE-2026-20127 漏洞的可用安全更新。
- 审查并遵循公司提供的 Catalyst SD-WAN 产品系统加固指南（Hardening Guide）。
- 监控控制器内的异常操作，特别是与系统文件或代码注入操作相关的操作。
这起事件强调了定期更新网络基础设施的重要性，因为在初始入侵后依赖有效的访问权限对传统防御工具构成了重大挑战。