Cisco SD‑WAN 漏洞被利用：KeyDrift 病毒竊取加密金鑰

駭客利用一個於二月份已修復的關鍵 Cisco Catalyst SD‑WAN 漏洞，在管理組織 SD‑WAN 網路的系統內植入自訂惡意程式。

該惡意程式稱為 KeyDrift，設計用來複製站點間加密流量的金鑰並將其儲存以備後續使用，Cisco Talos 在 10 月 28 日表示。Talos 將這些攻擊稱為歷史性事件，但未說明其發生時間或是否有金鑰被傳送。

該漏洞被追蹤為 CVE-2026-20127，CVSS 分數為 10.0。它允許未經身份驗證的遠端攻擊者繞過驗證並取得這些控制系統的管理許可權。在 Controller 上，攻擊者可以非 root 的高許可權內部帳號登入。

當 Cisco 於二月份披露該漏洞 時，Talos 將其利用追蹤為 UAT-8616，這是一系列活動，Talos 表示至少可追溯至 2023 年。

在 Cisco 傳統的金鑰交換 中，每臺 SD‑WAN 路由器會定期為其流量產生一個 AES 金鑰，並將其傳送至 Catalyst SD‑WAN Controller（前稱 vSmart）。Controller 將金鑰傳遞給其他路由器。Controller 上名為 vdaemon 的程序負責執行帶有加密的控制連線，傳遞這些金鑰。

在被攻破的 Controller 上，KeyDrift 的一個元件 LittleFilch 會掛鉤到 vdaemon，並在訊息解密後讀取控制訊息。對於預設的邊緣路由器清單，它會擷取它們的 IP 位址和一個 32 位元組欄位。Talos 將該欄位視為 Controller 在路由器間傳遞的 AES‑256 金鑰資料。

LittleFilch 將收集到的資料以 RSA 加密並寫入檔案。接著它會透過 UDP 將該資料傳送至設定檔中列出的位址，傳送後再刪除該設定檔。Talos 無法恢復該設定檔。

Talos 將 KeyDrift 背後的組織追蹤為 UAT-11473，該組織曾針對太空與衛星服務、國防與航空航天技術，以及政策研究進行攻擊。

Talos 高度肯定該組織的基礎設施與 Silent Train 有「相當重疊」的關係。Silent Train 是 Lumen 的 Black Lotus Labs 為一個被駭客入侵的小型辦公室、居家辦公、物聯網及商業裝置網路所使用的名稱。

Lumen 表示 Volt Typhoon 利用該網路隱藏其活動。CISA、NSA 及 FBI 在 2024 年表示 Volt Typhoon 是一家中國政府贊助的網路攻擊組織。

Talos 只透過基礎設施重疊將 UAT-11473 與 Volt Typhoon 連結，並未說明兩者是否為同一組織，或 UAT-11473 與 2 月份報告的 UAT-8616 叢集之間的關係。

另外，Lumen 在 10 月 28 日表示 Volt Typhoon 在 2025 年晚期已經利用 CVE-2026-20127，並在 Cisco 於二月份披露漏洞後仍繼續利用。Lumen 未將此活動與 KeyDrift 連結。

Talos 表示 KeyDrift 主要是透過修改 Cisco SD‑WAN 裝置用於啟動其服務的 runit 指令碼來執行。在其中一個版本中，SSH 服務的指令碼會先啟動一個載入指令碼 conf_sshd，然後再啟動真正的 SSH 伺服器。conf_sshd 指令碼會將 vdaemon 的程序 ID 寫入檔案，並且名為 rsshd 的工具將 KeyDrift 的主模組 PolyFlame 注入到每個程序中。

PolyFlame 以記憶體方式執行於 vdaemon 內部。它可以充當類似 TinyShell 的後門，執行指令並讀寫檔案，或作為中繼器，將指令在其指令伺服器與其他機器之間轉發。它被設計為在 SD‑WAN 控制流量中接收指令，且分析樣本中沒有硬編碼的伺服器位址。

在被攻破的 Validator（前稱 vBond）上，偽造的 aaamgr 服務位於 /etc/sv/aaamgr/ ，執行一個打包的載入器 aaamgrd，該載入器會解密並執行 PolyFlame。Cisco 真正的 aaamgr 元件是 Python 套件，通常不會以編譯服務執行。

亦有時間戳偽造的跡象：該組織執行的指令會將現有檔案的時間戳與許可權複製到其自身檔案上。

受影響的版本與修正

CVE-2026-20127 影響 Catalyst SD‑WAN Controller（前稱 vSmart）、Manager（前稱 vManage）以及 Validator（前稱 vBond），無論其設定為何。內部部署系統受影響，同樣 Cisco 託管的 SD‑WAN 雲端部署，包括 Cisco Managed 與 FedRAMP 環境亦受影響。Cisco 於 6 月 16 日將 Validator 加入其安全通報。

Cisco 表示已知此缺陷僅有限度被利用。沒有可行的迴避方法，首批已修正的版本如下：

早於 20.9 的版本以及 20.11、20.13、20.14 與 20.16 列車已達到軟體維護結束。

在升級前，內部部署客戶可將 22 與 830 埠的存取限制於已知控制器及其他已知系統的 IP 位址。Cisco 表示此步驟在測試環境中有效，但建議客戶檢查其自身網路中的效能。此類防護措施已在 Cisco 託管的 SD‑WAN 雲端部署中實施。

封鎖埠並不會移除已存在於裝置上的惡意程式。

檢查 KeyDrift

Talos 建議組織安裝 Cisco 的修正程式，遵循 Cisco 的 Catalyst SD‑WAN 加固指南，並留意後續被入侵的跡象。發現此類跡象的任何人應啟動事件回應，並可向 Cisco 技術支援中心（TAC）尋求協助。

該建議未說明升級是否能移除已被入侵裝置中的 KeyDrift，亦未說明是否應更換任何金鑰。Cisco 於 2 月發布的此缺陷 補救指南 警告說，升級前可能仍存在「仍在執行的現有漏洞利用」。

KeyDrift 使用以下檔案與位置，其中部分僅以名稱提供：

• 檔案：位於 etc/sv/sshd/ 下的 run 指令碼，已修改以啟動 conf_sshd
• 目錄：/etc/sv/aaamgr/，在被攻破的 Validator 上的一個偽造服務
• 檔案：aaamgrd，打包的載入器
• 檔案：conf_sshd，載入指令碼
• 檔案：rsshd，注入器
• 檔案：libdssl.so，PolyFlame
• 檔案：libcommon.so，LittleFilch
• 檔案：/tmp/system-vdaemon，vdaemon 程序 ID 列表
• 檔案：/var/tmp/vdaemon.bin，LittleFilch 的加密紀錄
• 檔案：/var/tmp/vdaemon.conf，LittleFilch 的傳送設定，讀取後已刪除

Talos 的報告未包含 KeyDrift 的檔案雜湊、IP 位址或網域名清單。

Talos 在 10 月 28 日發布了 Snort 規則，用於偵測進入的 KeyDrift 指令與控制連線：Snort 2 的 67387 至 67416，Snort 3 的 7:44 至 7:73。已提供的規則 65938 與 65958 覆蓋 CVE-2026-20127 本身。

10 月 28 日的規則更新將 Snort 2 規則預設為停用，因此付費 Snort Subscriber 規則集的使用者必須手動啟用。Snort 3 規則則沒有預設狀態。

若要檢查此缺陷本身是否被利用，Cisco 建議在 /var/log/auth.log 中尋找來自未知 IP 位址的 Accepted publickey for vmanage-admin 條目。 在開啟 TAC 案件前，客戶應該在每個控制元件上執行 request admin-tech。 修復指引亦建議使用 Bug Search Tool 頁面上的 Check Bug Applicability 功能，重新掃描那些 admin-tech 檔案以檢查 bug CSCws52722。

對於美國聯邦民間機構，CISA 於 2 月 25 日發布的 緊急指令說明瞭若發現 root 帳戶被入侵時的處理方式。機構必須向 CISA 報告、從已修補的映像部署新的 Manager、Controller 與 Validator 例項，並將其邊緣路由器遷移至新系統。

覺得這篇文章有趣嗎？請在 Google News、Twitter 與 LinkedIn 上追蹤我們，以閱讀更多專屬內容。