UAT-11473 использовал обход аутентификации в Cisco SD-WAN
UAT-11473 эксплуатировал уязвимость обхода аутентификации CVE-2026-20127 в Cisco SD-WAN Catalyst Controller для несанкционированного доступа и развёртывал KeyDrift, собственный фреймворк для сохранения доступа к контроллерам и сбора конфиденциальных данных плоскости управления SD-WAN и ключевого материала. Сообщалось о целевых атаках на организации, оказывающие космические и спутниковые услуги, предприятия оборонной и аэрокосмической отраслей, а также организации, занимающиеся политическими исследованиями.
KeyDrift использует пути служб runit в Cisco SD-WAN для закрепления и выполнения. В одном развёртывании UAT-11473 изменил скрипт запуска sshd, чтобы смонтировать /rootfs.rw с правами на выполнение и запустить вредоносный скрипт. Тот обнаруживал работающие процессы vdaemon и загружал в них с помощью инжектора резидентный в памяти модуль PolyFlame. Другой вариант KeyDrift маскировался под скомпилированную службу aaamgrd и запускался через модифицированную службу runit. В отчёте также упоминаются признаки изменения временных меток файлов (timestomping).
PolyFlame внедряет перехватчики в функции сокетов, DTLS и компоновщик времени выполнения внутри легитимных процессов. Благодаря этому модуль получает доступ к состоянию процесса и трафику плоскости управления. Он поддерживает выполнение команд, чтение и запись файлов, а также промежуточное управление, которое может ретранслировать команды и ответы между контроллером и несколькими одноранговыми системами. Задачи назначаются через коммуникации на плоскости управления, а не через фиксированный внешний маяк. Проверка на стороне администратора, основанная на MD5-хэше текущей даты устройства, может ограничивать дальнейшее выполнение.
LittleFilch собирает и передаёт данные. Модуль перехватывает вызовы функции SSL_read в vdaemon, проверяет расшифрованные буферы на наличие заданных маркеров и извлекает ключевой материал, связанный с заранее определёнными узлами сети. Он шифрует собранные данные с помощью RSA, сохраняет их во временный файл /var/tmp/vdaemon.bin и может передавать их в виде UDP-записи, структура которой сходна с протоколом DTLS. Конфигурация модуля содержит пары локальных и удалённых IP-адресов и портов. Прочитав её, модуль удаляет конфигурацию.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
