Ataki na Cisco SD-WAN: malware KeyDrift kradnie klucze szyfrujące i zagraża płaszczyźnie sterowania

Wprowadzenie do problemu / definicja

Cisco Catalyst SD-WAN to kluczowy element nowoczesnych sieci rozległych, odpowiedzialny za zarządzanie ruchem, politykami bezpieczeństwa i komunikacją pomiędzy oddziałami organizacji. Najnowsze ustalenia badaczy pokazują, że podatność CVE-2026-20127 była wykorzystywana do przejmowania kontroli nad komponentami zarządzającymi SD-WAN i wdrażania wyspecjalizowanego malware o nazwie KeyDrift.

To zagrożenie jest szczególnie istotne, ponieważ nie ogranicza się do prostego uzyskania dostępu administracyjnego. Celem atakujących było pozyskanie materiału kryptograficznego używanego do ochrony komunikacji między urządzeniami brzegowymi, a także utrzymanie trwałej obecności w infrastrukturze sieciowej ofiar.

W skrócie

Atakujący wykorzystywali krytyczną lukę CVE-2026-20127 w Cisco Catalyst SD-WAN.
Po obejściu uwierzytelniania wdrażali malware KeyDrift na komponentach kontrolnych.
Złośliwe oprogramowanie służyło do kradzieży kluczy szyfrujących, utrzymania trwałości i zdalnego wykonywania poleceń.
Incydent dotyczył systemów Controller, Manager i Validator, zarówno lokalnych, jak i hostowanych.
Dla organizacji oznacza to ryzyko kompromitacji całej płaszczyzny sterowania SD-WAN, a nie tylko pojedynczej podatności.

Kontekst / historia

Podatność CVE-2026-20127 została publicznie ujawniona 25 lutego 2026 roku jako krytyczny błąd umożliwiający nieuwierzytelnionemu napastnikowi zdalne obejście mechanizmu logowania i uzyskanie uprawnień administracyjnych. W kolejnych komunikatach zakres ostrzeżenia rozszerzono również o komponent Validator, co zwiększyło skalę problemu.

W początkowej fazie zagrożenie było postrzegane głównie jako bardzo groźna luka w zabezpieczeniach. Dopiero dalsze analizy wykazały, że w wybranych przypadkach exploit stanowił jedynie pierwszy etap operacji, po którym wdrażano niestandardowe narzędzia umożliwiające rozpoznanie środowiska, utrzymanie dostępu i kradzież danych o wysokiej wrażliwości.

Zmienia to charakter incydentu z klasycznego problemu związanego z zarządzaniem podatnościami w scenariusz zaawansowanej kompromitacji infrastruktury sieciowej. W efekcie organizacje korzystające z Cisco SD-WAN powinny traktować ten przypadek nie tylko jako konieczność aktualizacji, ale również jako potencjalne naruszenie integralności warstwy sterującej.

Analiza techniczna

Rdzeniem ataku było obejście uwierzytelniania w komponentach kontrolnych Cisco Catalyst SD-WAN. Po skutecznym wykorzystaniu CVE-2026-20127 napastnik mógł uzyskać wysoki poziom dostępu i przejść do działań post-exploitation, w tym do osadzenia frameworku malware KeyDrift.

KeyDrift nie był pojedynczym plikiem, lecz zestawem współpracujących modułów odpowiadających za trwałość, iniekcję kodu, wykonywanie poleceń oraz eksfiltrację danych. Jeden z kluczowych komponentów, określany jako LittleFilch, miał działać wewnątrz procesu obsługującego połączenia sterujące. Dzięki temu malware mógł odczytywać dane już po ich odszyfrowaniu i wydobywać z nich pola interpretowane jako 32-bajtowy materiał klucza AES-256 dla wskazanych urządzeń brzegowych.

Drugim ważnym elementem był PolyFlame, czyli backdoor działający w pamięci procesu. Umożliwiał on wykonywanie poleceń systemowych, odczyt i zapis plików oraz pośredniczenie w komunikacji pomiędzy infrastrukturą operatora a dodatkowymi hostami. Co istotne, część komunikacji miała być ukrywana w obrębie ruchu sterującego SD-WAN, co utrudnia wykrycie aktywności na podstawie prostych sygnatur sieciowych.

Badacze opisali także mechanizmy trwałości. Obejmowały one modyfikację skryptów startowych usług, uruchamianie dodatkowych loaderów przed legalnymi demonami systemowymi oraz iniekcję kodu do procesów vdaemon. W środowiskach Validator obserwowano również fałszywą usługę aaamgr uruchamiającą spakowany loader. Dodatkowo stosowano timestomping, czyli fałszowanie znaczników czasu i atrybutów plików, aby utrudnić analizę śledczą i zmniejszyć widoczność artefaktów malware.

Konsekwencje / ryzyko

Najpoważniejszym skutkiem kompromitacji jest możliwość pozyskania kluczy szyfrujących wykorzystywanych do ochrony ruchu między lokalizacjami. Oznacza to ryzyko naruszenia poufności komunikacji w sieci rozległej, a także możliwość późniejszej analizy przechwyconego materiału kryptograficznego.

Drugie istotne ryzyko dotyczy samej płaszczyzny zarządzania. Komponenty Controller, Manager i Validator stanowią centralny punkt sterowania politykami, zestawianiem połączeń i relacjami z urządzeniami brzegowymi. Ich przejęcie może umożliwić napastnikowi manipulowanie konfiguracją sieci, budowanie nowych ścieżek ruchu, ukrywanie aktywności oraz przygotowanie kolejnych etapów operacji.

Z perspektywy operacyjnej incydent jest szczególnie groźny dla sektorów o wysokiej wrażliwości, takich jak obronność, technologie kosmiczne i satelitarne, lotnictwo czy organizacje prowadzące badania strategiczne. Profil działań wskazuje na długoterminowe zainteresowanie dostępem do infrastruktury i informacji o znaczeniu wywiadowczym.

Rekomendacje

Najważniejszym krokiem jest niezwłoczna aktualizacja do wersji oprogramowania wskazanych przez producenta jako naprawione. W przypadku tej podatności aktualizacja jest podstawowym środkiem ograniczenia ryzyka, jednak sama w sobie nie daje gwarancji usunięcia skutków wcześniejszej kompromitacji.

Organizacje powinny równolegle uruchomić proces incident response i zabezpieczyć artefakty przed wprowadzeniem zmian w środowisku. Szczególnej analizy wymagają logi uwierzytelniania, aktywność kont administracyjnych, modyfikacje skryptów startowych usług, pojawienie się nieautoryzowanych plików oraz ślady uruchamiania nietypowych binariów.

Ograniczyć ekspozycję interfejsów zarządzających wyłącznie do zaufanych adresów IP.
Zweryfikować integralność plików i usług na komponentach kontrolnych.
Monitorować środowisko pod kątem prób utrzymania trwałości i ruchu C2.
Wdrożyć lub zaktualizować reguły detekcyjne dla CVE-2026-20127 i aktywności powiązanej z KeyDrift.
W przypadku podejrzenia kompromitacji rozważyć pełne odtworzenie kontrolerów z czystych, poprawionych obrazów.
Przeanalizować, czy konieczna jest ponowna ocena zaufania do materiału kryptograficznego i kanałów sterujących.

W środowiskach o podwyższonych wymaganiach bezpieczeństwa uzasadnione jest także rozszerzone threat hunting oraz korelacja zdarzeń z systemami NDR, EDR i IDS/IPS. Tylko takie podejście pozwala ocenić, czy exploit został wykorzystany wyłącznie do uzyskania dostępu, czy również do wdrożenia trwałych komponentów malware.

Podsumowanie

Sprawa KeyDrift pokazuje, że ataki na kontrolery SD-WAN mogą prowadzić do znacznie poważniejszych konsekwencji niż przejęcie panelu administracyjnego. W tym przypadku stawką było uzyskanie dostępu do materiału kluczowego chroniącego komunikację między lokalizacjami oraz ustanowienie długotrwałej obecności w krytycznej infrastrukturze sieciowej.

Dla zespołów bezpieczeństwa to wyraźny sygnał, że podatności w warstwie sterowania siecią należy oceniać nie tylko pod kątem łatwości eksploatacji, ale również potencjalnego wpływu na poufność, integralność i zaufanie do całego środowiska. Każda organizacja narażona na CVE-2026-20127 powinna traktować swoje wdrożenie Cisco Catalyst SD-WAN jako potencjalnie zagrożone do czasu pełnego potwierdzenia braku oznak kompromitacji.