تحقیقات اخیر Cisco Talos نشان‌دهنده فعالیت یک عامل تهدید پیشرفته (APT) با نام UAT-11473 است که از چارچوب بدافزاری سفارشی با نام KeyDrift برای هدف قرار دادن کنترل‌کننده‌های Cisco Catalyst SD-WAN استفاده می‌کند. این بدافزار با تزریق خود به فرآیندهای قانونی Control-plane، دسترسی خود را حفظ کرده و قادر است ارتباطات رمزنگاری‌شده را رهگیری و کلیدهای حساس رمزنگاری شبکه را استخراج کند.
هدف‌گیری و دامنه حملات
اهداف مشاهده شده در این حملات شامل بخش‌های استراتژیک زیر است:
- خدمات فضایی و ماهواره‌ای
- فناوری‌های دفاعی و هوافضا
- مراکز تحقیقاتی و سیاست‌گذاری
همچنین مشخص شده است که زیرساخت عملیاتی این عامل با شبکه Silent Train متعلق به گروه Volt Typhoon همپوشانی قابل توجهی دارد.
جزئیات فنی و آسیب‌پذیری بحرانی
این حملات از آسیب‌پذیری CVE-2026-20127 بهره می‌گیرند که یک نقص در احراز هویت (Authentication Bypass) با امتیاز CVSS 10.0 است. این آسیب‌پذیری به مهاجم اجازه می‌دهد بدون احراز هویت، از طریق یک حساب داخلی با سطح دسترسی بالا، به سیستم دسترسی پیدا کرده و از قابلیت NETCONF برای دستکاری پیکربندی ساختار SD-WAN استفاده کند.
بدافزار KeyDrift از اجزای تخصصی برای عملیات خود استفاده می‌کند:
- PolyFlame: که به صورت libdssl.so بارگذاری شده و رفتارهای Runtime مانند recvfrom، sendto، dlopen و dlsym را هوک (Hook) می‌کند تا به وضعیت Control-plane دسترسی داشته باشد.
- LittleFilch: که به عنوان libcommon.so عمل کرده و وظیفه جمع‌آوری داده‌ها را بر عهده دارد. این ماژول با بررسی بافرهای نشست‌های کنترل، کلیدهای AES-256 IPsec را استخراج کرده و آن‌ها را برای ارسال، با استفاده از RSA رمزنگاری می‌کند.
توصیه‌های امنیتی و مقابله
با توجه به ماهیت بحرانی این تهدید، شرکت سیسکو وصله‌های امنیتی لازم را منتشر کرده است. مدیران شبکه و تیم‌های SOC باید اقدامات زیر را فوراً انجام دهند:
- به‌روزرسانی فوری: نصب آخرین نسخه اصلاح‌شده از کنترل‌کننده‌های Cisco مطابق با توصیه‌های امنیتی این شرکت.
- محدودسازی دسترسی: محدود کردن دسترسی‌های مستقیم به کنترل‌کننده‌ها و بررسی رویدادهای مشکوک در Peering.
- بررسی لاگ‌ها: بازبینی دقیق فایل
/var/log/auth.logبرای شناسایی ورودهای غیرمجاز با کلید عمومی vmanage-admin. - حسابرسی سیستم: بررسی تغییر در لانچرهای runit، کتابخانه‌های غیرمنتظره و فایل‌های اجرایی مشکوک مانند aaamgrd.
