Saldirganlar kritik Cisco SD-WAN acigini istismar edip sifreleme anahtarlarini calan KeyDrift zararlisini yerlestirdi

Cisco Talos, 28 Ekim'de bir siber casusluk grubunun Cisco Catalyst SD-WAN'daki azami onem derecesine sahip bir acigi istismar ederek, lokasyonlar arasi trafigi koruyan sifreleme anahtarlarini calmak uzere tasarlanmis ozel bir zararli yazilim yerlestirdigini bildirdi. CVE-2026-20127 olarak izlenen ve CVSS 10.0 ile derecelendirilen acik, kimligi dogrulanmamis bir saldirganin kimlik dogrulamayi atlayip SD-WAN bilesenlerinde yonetici denetimi elde etmesine imkan veriyor; Cisco acigi subatta duyurmustu ve sinirli olcekte istismar edildiginin farkinda oldugunu belirtiyor. Talos, incelenen saldirilarin gecmise ait oldugunu, ne zaman gerceklestigini veya herhangi bir anahtarin sizdirilip sizdirilmadigini soyleyemedigini aktariyor.

Neler oldu?

Talos'a gore saldirganlar CVE-2026-20127 ile Catalyst SD-WAN Controller, Manager ve Validator sistemlerini ele gecirip KeyDrift adini verdikleri zararli yazilim ailesini kurdu. Cisco'nun bulteni acigin bu bilesenleri "yapilandirmalarindan bagimsiz olarak" etkiledigini, yani yerindeki sistemlerin yani sira Cisco'nun barindirdigi bulut, Managed ve FedRAMP dagitimlarini da kapsadigini belirtiyor. Talos istismar kumesini en az 2023'e uzanan UAT-8616 olarak, KeyDrift'i isleten grubu ise UAT-11473 olarak izliyor.

Teknik detaylar

Cisco'nun tasariminda her yonlendirici duzenli olarak bir AES anahtari uretir ve bunu, sifreli denetim baglantilarini yuruten vdaemon sureci araciligiyla denetleyici uzerinden diger yonlendiricilere iletir. LittleFilch adli KeyDrift bileseni vdaemon'a baglanarak bu denetim mesajlarini sifresi cozulduktten sonra okur; onceden tanimli bir uc yonlendirici listesi icin IP adreslerini ve Talos'un AES-256 anahtar materyali olarak degerlendirdigi 32 baytlik alani cikarir. LittleFilch topladigi veriyi RSA ile sifreleyip bir dosyaya yazar ve bir ayar dosyasinda saklanan adrese UDP uzerinden gonderebilir; ardindan o dosyayi siler. PolyFlame adli ikinci modul vdaemon'a enjekte edilir ve TinyShell benzeri bir arka kapi gibi davranabilir ya da SD-WAN denetim trafigine gizlenmis komutlari aktarabilir. Kalicilik icin grup runit betiklerini degistirdi, SSH servisini kotuye kullandi ve bir Validator'da sahte bir aaamgr servisi olusturdu; ayrica fark edilmemek icin zaman damgasi taklidi (timestomping) kullandi.

Kimler etkileniyor?

Talos, UAT-11473'un uzay ve uydu hizmetlerini, savunma ve havacilik teknolojilerini ve politika arastirmalarini hedefledigini soyluyor. Firma, grubun altyapisinin, Lumen'in Black Lotus Labs ekibinin izledigi ve Lumen'in Cin devleti destekli Volt Typhoon'a bagladigi ele gecirilmis cihaz agi Silent Train ile "onemli olcude ortustugunu" yuksek guvenle degerlendiriyor. Lumen 28 Ekim'de ayrica Volt Typhoon'un ayni acigi 2025 sonundan beri istismar ettigini belirtti; Talos UAT-11473'u Volt Typhoon'a yalnizca ortak altyapi uzerinden baglaniyor ve ayni grup olduklarini soylemiyor.

Ne yapmali?

Gecici bir cozum bulunmuyor. Cisco ve Talos yamali surumlerin kurulmasini ve Cisco'nun Catalyst SD-WAN sertlestirme kilavuzunun uygulanmasini oneriyor; ara onlem olarak 22 ve 830 numarali portlara erisim bilinen sistemlerle sinirlanabilir. Yoneticiler conf_sshd, rsshd, aaamgrd, libdssl.so (PolyFlame) ve libcommon.so (LittleFilch) gibi gostergeleri aramali, /var/log/auth.log dosyasinda beklenmedik Accepted publickey for vmanage-admin kayitlarini kontrol etmeli ve Talos'un yayimladigi Snort kurallarini devreye almalidir. Cisco, yukseltmenin onceden var olan bir sizmayi mutlaka temizlemedigi uyarisinda bulunuyor; bu nedenle supheli ele gecirmeler tam bir incelemeyi gerektiriyor.