هکرها با بهره‌برداری از یک آسیب‌پذیری بحرانی در سیستم‌های Cisco Catalyst SD-WAN، بدافزار سفارشی KeyDrift را برای سرقت کلیدهای رمزنگاری (Encryption Keys) مستقر کرده‌اند. طبق گزارش Cisco Talos، این بدافزار با هدف کپی کردن کلیدهایی که ترافیک بین سایت‌های مختلف را رمزنگاری می‌کنند، طراحی شده است.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی با شناسه CVE-2026-20127 و امتیاز CVSS 10.0 ردیابی می‌شود. این آسیب‌پذیری به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت (Unauthenticated)، فرآیند احراز هویت را دور زده و امتیازات مدیریتی (Administrative Privileges) را در سیستم‌های کنترل شبکه به دست آورند. در صورت نفوذ به یک Controller، مهاجم می‌تواند به عنوان یک حساب داخلی با سطح دسترسی بالا وارد شود.
مکانیسم عملکرد بدافزار
تحقیقات نشان می‌دهد که بدافزار از چندین مؤلفه برای حفظ بقا و سرقت داده استفاده می‌کند:
- LittleFilch: این مؤلفه در فرآیند vdaemon تزریق شده و پس از رمزگشایی پیام‌های کنترلی، کلیدهای AES-256 را استخراج می‌کند.
- PolyFlame: این ماژول به عنوان یک درگاه پشتی (Backdoor) در حافظه (Memory) اجرا می‌شود و می‌تواند دستورات را از طریق ترافیک کنترلی SD-WAN دریافت و اجرا کند.
- تکنیک‌های پنهان‌سازی: مهاجمان از تکنیک Timestomping برای کپی کردن برچسب‌های زمانی فایل‌های سیستمی روی فایل‌های خود استفاده می‌کنند تا شناسایی شوند.
ارتباط با گروه‌های APT و اهداف حمله
عامل تهدید (Threat Actor) پشت این حمله (UAT-11473) دارای زیرساخت‌هایی است که با گروه Volt Typhoon (یک گروه سایبری تحت حمایت دولت چین) همپوشانی قابل توجهی دارد. این گروه تاکنون صنایع استراتژیک از جمله خدمات ماهواره‌ای، فناوری‌های دفاعی، هوافضا و مراکز تحقیقاتی سیاست‌گذاری را هدف قرار داده است.
راهکارهای مقابله و رفع مشکل
این آسیب‌پذیری تمامی سیستم‌های Catalyst SD-WAN شامل Controller (vSmart)، Manager (vManage) و Validator (vBond) را، چه در حالت On-premises و چه در محیط‌های ابری (Cloud)، تحت تأثیر قرار می‌دهد. اقدامات زیر توصیه می‌شود:
- به‌روزرسانی فوری: نصب سریع وصله‌های امنیتی (Patches) ارائه شده توسط سیسکو برای نسخه‌های آسیب‌پذیر.
- محدودسازی دسترسی: در صورت عدم امکان آپدیت فوری، دسترسی به پورت‌های 22 و 830 را تنها به IPهای شناخته شده محدود کنید.
- مانیتورینگ و شناسایی: بررسی فایل
/var/log/auth.logبرای یافتن ورودهای مشکوک و استفاده از قوانین Snort برای شناسایی ارتباطات Command-and-Control (C2).
به‌روزرسانی (اکتبر 29, 2026 — SecurityWeek)
به‌روزرسانی: تحلیل‌های جدید منتشر شده توسط Cisco Talos و Lumen Black Lotus Labs، این حملات را به عامل تهدید (Threat Actor) موسوم به UAT-11473 نسبت داده است. یافته‌ها نشان می‌دهد زیرساخت این گروه همپوشانی گسترده‌ای با شبکه مخفی Silent Train دارد؛ شبکه‌ای که توسط گروه Volt Typhoon برای هدف قرار دادن سازمان‌های ایالات متحده و پنهان کردن ترافیک حمله از طریق روترهای SOHO و دستگاه‌های IoT هک شده استفاده می‌شود.
در بررسی‌های فنی بدافزار KeyDrift، دو ماژول کلیدی شناسایی شده‌اند: ماژول PolyFlame که به عنوان یک Backdoor عمل کرده و دستورات را به سایر میزبان‌ها منتقل می‌کند، و ماژول LittleFilch که وظیفه جمع‌آوری متریال کلیدهای رمزنگاری (Keying Material) برای دسترسی به ترافیک Data-plane را بر عهده دارد.
این عملیات به‌طور ویژه بخش‌های استراتژیک از جمله خدمات فضایی و ماهواره‌ای، فناوری‌های دفاعی و هوافضا و مراکز پژوهشی سیاست‌گذاری را هدف قرار داده است. بیشترین تمرکز این حملات بر مناطق هاوایی، کالیفرنیا و تگزاس بوده که نشان‌دهنده استراتژی Pre-positioning (جای‌گذاری پیش‌دستانه) برای ایجاد دسترسی در سیستم‌های حیاتی در زمان وقوع بحران‌های ژئوپلیتیک در منطقه هند-آرام است.
