Cisco-onderzoekers van Talos hebben een nieuwe malware genaamd KeyDrift ontdekt, die wordt ingezet via een kwetsbaarheid in Cisco Catalyst SD-WAN-controllers. Het lek, CVE-2026-20127, is een authenticatie-omzeiling met de maximale CVSS-score van 10,0 en werd door Cisco in februari dit jaar gepatcht.
Talos volgt de aanvallers onder de naam UAT-11473, een tot nu toe onbekende groep die vooral organisaties in de ruimtevaart- en satellietsector, defensie- en luchtvaarttechnologie en beleidsonderzoek heeft geraakt. De infrastructuur van de groep overlapt volgens Talos met hoog vertrouwen aanzienlijk met Silent Train, een netwerk van gekaapte thuisrouters, IoT-apparaten en bedrijfsapparatuur dat onderzoeksbureau Lumen eerder koppelde aan het Chinese, staatsgesponsorde Volt Typhoon. Talos trekt die conclusie zelf niet en legt ook geen directe link met UAT-8616, de groep die het lek volgens eerdere rapportage al sinds minstens 2023 als zero-day misbruikte. Lumen meldde los daarvan dat Volt Typhoon CVE-2026-20127 eind 2025 al misbruikte en daarmee doorging nadat Cisco het lek in februari had gepatcht.
KeyDrift is volgens Talos gebouwd voor langdurige, persistente toegang en geautomatiseerde diefstal van gevoelig sleutelmateriaal. De malware draait binnen de controlprocessen van SD-WAN-controllers, onderschept ontsleuteld besturingsverkeer en haalt daaruit sessiemetadata en AES-256-sleutelmateriaal dat wordt gebruikt om IPsec-dataverkeer tussen sites te versleutelen. Eén onderdeel, LittleFilch, haakt in op de functie die controleverkeer ontsleutelt en trekt voor een vooraf ingestelde lijst edge-routers hun IP-adres en het sleutelveld uit het geheugen. Die gegevens worden met RSA versleuteld, lokaal opgeslagen en via UDP naar een extern adres gestuurd dat na gebruik weer wordt verwijderd. Een tweede onderdeel, PolyFlame, fungeert als achterdeur of relay en accepteert commando’s die verstopt zitten in normaal SD-WAN-verkeer. Talos kon het bestand met gestolen sleutels niet terugvinden en kan dus niet bevestigen of er daadwerkelijk sleutelmateriaal is buitgemaakt.
Een workaround voor het onderliggende lek bestaat niet. Cisco adviseert te updaten naar de gepatchte releases: voor versie 20.9 is dat 20.9.8.2, voor 20.12 is dat 20.12.5.3 of 20.12.6.1, en voor de nieuwste trains 20.15.4.2 respectievelijk 20.18.2.1. Oudere releases dan 20.9 moeten migreren naar een gepatchte versie. Wie nog niet kan updaten, kan toegang tot poort 22 en 830 beperken tot bekende controller-IP’s, al verwijdert dat geen malware die al aanwezig is.
Voor bedrijven met een Cisco Catalyst SD-WAN-omgeving is dit een duidelijk signaal om niet alleen te patchen, maar ook actief te controleren op sporen van compromittering. Kijk in logbestanden naar onverwachte publickey-logins van onbekende IP-adressen en volg Cisco’s hardeningsgids voor SD-WAN-omgevingen. Patchen alleen is hier niet genoeg: zonder forensisch onderzoek blijft onduidelijk of een reeds aanwezige implant de upgrade overleeft.
Bron: BleepingComputer en The Hacker News
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.