Cisco SD-WAN Zafiyeti İstismar Edildi: Şifreleme Anahtarlarını Çalmak İçin Tasarlanmış Zararlı Yazılım Yerleştirildi.

Görsel Kaynağı: The Hacker News

Hacker’lar, Şubat ayında düzeltilen kritik bir Cisco Catalyst SD-WAN açığını kullanarak, bir kuruluşun SD-WAN ağını kontrol eden sistemlerin içine özel olarak tasarlanmış bir zararlı yazılım yerleştirdi.

KeyDrift adlı zararlı yazılım, siteler arasındaki trafiği şifreleyen anahtarları kopyalamak ve ileride kullanılmak üzere saklamak için tasarlandı; Cisco Talos, 28 Ekim tarihinde bunu belirtti. Talos, saldırıları tarihsel nitelikli olarak değerlendirdi ancak bunların ne zaman gerçekleştiğine ya da herhangi bir anahtarın gönderilip gönderilmediğine dair bir bilgi vermedi.

Açık, CVE-2026-20127 olarak takip ediliyor ve CVSS puanı 10.0’a sahip. Kimlik doğrulaması yapmayan uzaktan bir saldırganın kimlik doğrulamasını atlayıp bu kontrol sistemlerinde yönetici ayrıcalıkları kazanmasına olanak tanıyor. Bir Controller üzerinde saldırgan, kök (root) olmayan yüksek ayrıcalıklı bir hesap olarak sisteme giriş yapabilir.

Cisco, açığı Şubat ayında açıkladığında, Talos bunun istismarını UAT-8616 olarak takip etti; kuruluş, bu faaliyet kümesinin en az 2023 yılına gittiğini belirtti.

Cisco’nun geleneksel anahtar değişiminde, her SD-WAN yönlendiricisi trafiği için periyodik olarak bir AES anahtar üretir ve bunu Catalyst SD-WAN Controller’a (eski adıyla vSmart) gönderir. Controller, bu anahtarları diğer yönlendiricilere aktarır. Controller üzerinde çalışan ve bu anahtarları taşıyan şifreli kontrol bağlantılarını yöneten vdaemon adlı bir süreç bulunur.

İstismar edilen bir Controller üzerinde, LittleFilch adlı KeyDrift bileşeni vdaemon’a bağlanır ve kontrol mesajlarını şifresi çözüldükten sonra okur. Önceden belirlenmiş bir uç yönlendirici listesi için bu yönlendiricilerin IP adreslerini ve 32 baytlık bir alanı çıkarır. Talos, bu alanı Controller’ın yönlendiriciler arasında aktardığı AES-256 anahtar materyali olarak değerlendiriyor.

LittleFilch, topladığı verileri RSA ile şifreler ve bir dosyaya yazar. Ardından bu verileri, okuduktan sonra sildiği bir ayar dosyasında listelenmiş bir adrese UDP üzerinden gönderebilir. Talos, bu ayar dosyasını geri getiremedi.

KeyDrift’in arkasında yer alan grup, Talos tarafından UAT-11473 olarak takip ediliyor ve uzay ve uydu hizmetleri, savunma ve havacılık teknolojisi ile politika araştırmalarını hedef aldı.

Talos, grubun altyapısının “büyük ölçüde” Silent Train ile örtüştüğünü yüksek güvenle değerlendiriyor. Silent Train, Lumen’in Black Lotus Labs’in, hacklenen küçük ofis, ev ofisi (SOHO), Nesnelerin İnterneti (IoT) ve işletme cihazlarından oluşan bir ağı için kullandığı isimdir.

Lumen, Volt Typhoon’un faaliyetlerini gizlemek için bu ağı kullandığını söylüyor. CISA, NSA ve FBI, 2024 yılında Volt Typhoon’un Çin devleti tarafından desteklenen bir siber grup olduğunu belirtmişti.

Talos, UAT-11473’ü yalnızca altyapı örtüşmesi üzerinden Volt Typhoon ile ilişkilendiriyor. İki grubun aynı olduğunu ya da UAT-11473’ün Şubat ayında raporladığı küme olan UAT-8616 ile nasıl bir ilişkisi olduğunu söylemiyor.

Ayrı olarak Lumen, 28 Ekim’de Volt Typhoon’un 2025’in sonlarında CVE-2026-20127’yi sömürdüğünü ve Cisco hatayı açıkladıktan sonra Şubat ayında da sömürmeye devam ettiğini belirtti. Lumen, bu faaliyeti KeyDrift ile ilişkilendirmiyor.

Talos’a göre KeyDrift öncelikle Cisco SD-WAN cihazlarının hizmetlerini başlatmak için kullandığı değiştirilmiş runit betikleri aracılığıyla başlıyor. Bir sürümde, SSH hizmeti için betik, gerçek SSH sunucusundan önce bir yükleyici betik olan conf_sshd’yi başlatıyor. conf_sshd betiği, vdaemon’un süreç kimliklerini (PID) bir dosyaya yazıyor ve rsshd adlı bir araç, KeyDrift’in ana modülü PolyFlame’i bu süreçlerin her birine eniyor.

Görsel Kaynak: The Hacker News

PolyFlame, vdaemon içinde bellek içinde çalışır. Komutları çalıştıran ve dosyaları okuyup yazan bir TinyShell benzeri arka kapı olarak ya da komutlarını komut sunucusu ile diğer makineler arasında ileten bir yönlendirici olarak hareket edebilir. SD-WAN kontrol trafiği içinde komutları kabul edecek şekilde tasarlanmıştır ve analiz edilen örneklerde sabit kodlanmış bir sunucu adresi bulunmuyordu.

Çalınmış bir Validator’da, eski adıyla vBond, /etc/sv/aaamgr/ altında sahte bir aaamgr hizmeti, PolyFlame’i şifresini çözen ve çalıştıran paketlenmiş bir yükleyici olan aaamgrd’yi çalıştırıyor. Cisco’nun gerçek aaamgr bileşeni bir Python paketidir ve genellikle derlenmiş bir hizmet olarak çalışmaz.

Aynı zamanda timestomping (zaman damgası gizleme) belirtileri de var: grubun çalıştırdığı komutlar, kendi dosyalarına mevcut dosyaların zaman damgalarını ve izinlerini kopyalamıştır.

ETKİLENEN SÜRÜMLER VE DÜZELTMELER

CVE-2026-20127, yapılandırmalarından bağımsız olarak Catalyst SD-WAN Controller (eski adıyla vSmart), Manager (eski adıyla vManage) ve Validator (eski adıyla vBond) bileşenlerini etkiler. Yerel kurulumlu sistemler etkilenirken, Cisco’nun barındırılan SD-WAN bulut dağıtımları da dahil olmak üzere Cisco Managed ve FedRAMP ortamları da kapsamdadır. Cisco, Validator’ı 16 Haziran’da açıklamasına ekledi.

Cisco, açığın sınırlı ölçekte sömürüldüğünü bildirdi. Geçerli bir çözüm yolu bulunmamakta ve ilk düzeltilmiş sürümler şunlardır:

20.9’dan önceki sürümler ile 20.11, 20.13, 20.14 ve 20.16 sürüm hatları yazılım bakımının sonuna ermiştir.

Sürüm yükseltebilinelere kadar yerel kurulumlu müşteriler, 22 ve 830 numaralı bağlantı noktalarına erişimi yalnızca bilinen denetleyicilerin ve diğer bilinen sistemlerin IP adresleriyle sınırlayabilir. Cisco, bu adımın test ortamında işe yaradığını ancak müşterilerin kendi ağlarında ne kadar iyi çalıştığını kendilerinin değerlendirmesi gerektiğini belirtiyor. Benzer koruyucu önlemler, Cisco’nun barındırılan SD-WAN bulut dağıtımlarında zaten uygulanmaktadır.

Bağlantı noktalarının engellenmesi, bir cihazda zaten bulunan kötü amaçlı yazılımı ortadan kaldırmaz.

KeyDrift için tarama

Talos, kuruluşları Cisco’nun düzeltmelerini kurmaya, Cisco’nun Catalyst SD-WAN sağlamlaştırma kılavuzunu izlemeye ve ihlal sonrası faaliyet belirtilerini izlemeye çağırıyor. Böyle belirtiler bulan herkes olay müdahalesini başlatabilir ve Cisco’nun Teknik Yardım Merkezi’nden (TAC) yardım isteyebilir.

Bu tavsiye, yükseltmenin zaten saldırıya uğramış bir cihazdan KeyDrift’i kaldırıp kaldırmadığı ya da anahtarların değiştirilip değiştirilmemesi gerektiği konusunda bir bilgi vermiyor. Cisco’nun bu açığı gidermek için şubatta yayımladığı rehber, yükseltmeden önceki döneme ait “hâlâ yerinde olan mevcut sömürülerin” oluşabileceği uyarısında bulunuyor.

KeyDrift şu dosya ve konumları kullanıyor; bazıları yalnızca isimle verilmiş:

• Dosya: etc/sv/sshd/ altında çalışan çalıştırma betiği, conf_sshd’yi başlatacak şekilde değiştirilmiş
• Dizin: /etc/sv/aaamgr/, sömürüye uğramış bir Validator üzerindeki sahte hizmet
• Dosya: aaamgrd, paketlenmiş yükleyici
• Dosya: conf_sshd, yükleyici betiği
• Dosya: rsshd, enjekte edici
• Dosya: libdssl.so, PolyFlame
• Dosya: libcommon.so, LittleFilch
• Dosya: /tmp/system-vdaemon, vdaemon süreç kimliklerinin listesi
• Dosya: /var/tmp/vdaemon.bin, LittleFilch’in şifreli kayıtları
• Dosya: /var/tmp/vdaemon.conf, LittleFilch’in gönderim ayarları, okunduktan sonra silinir

Talos’un rapori, KeyDrift için dosya özetlerini (hash), IP adreslerini veya alan adlarını içermiyor.

Talos, 28 Ekim’de KeyDrift’in giriş komut-kontrol bağlantılarını arayan Snort kurallarını yayımladı: Snort 2 için 67387 ile 67416 arasında, Snort 3 için ise 7:44 ile 7:73 arasında. Zaten mevcut olan 65938 ve 65958 numaralı kurallar doğrudan CVE-2026-20127’yi kapsıyor.

28 Ekim tarihli kural güncellemesi, Snort 2 kurallarının varsayılan olarak devre dışı olduğunu belirtiyor; bu nedenle ücretli Snort Subscriber kural kümesinin kullanıcıları bunları etkinleştirmeli. Snort 3 kuralları ise varsayılan bir durum belirtilmeden yayımlanmış.

Açığın sömürülmesini denetlemek için Cisco, /var/log/auth.log içinde bilinmeyen IP adreslerinden gelen vmanage-admin girişlerine ait “Accepted publickey” kayıtlarını incelemeyi öneriyor. Bir TAC vakası açmadan önce müşteriler, her kontrol bileşeninde request admin-tech komutunu çalıştırmalı. Giderme rehberi, bu admin-tech dosyalarının, CSCws52722 hata numarası için Bug Search Tool sayfasındaki Check Bug Applicability özelliğiyle yeniden taramasını da öneriyor.

Amerika Birleşik Devletleri federal sivil kurumları için CISA’ın 25 Şubat tarihli acil direktifi, bir kök hesap ihlalinin tespit edilmesi durumunda ne yapılması gerektiğini belirliyor. Kurumlar bunu CISA’ya bildirmek, yamalı görüntülerden yeni Manager, Controller ve Validator örneklerini devreye almak ve kenar yönlendiricilerini yeni sistemlere taşımak zorundadır.