KeyDrift, szkodnik w kontrolerach Cisco SD-WAN, kradnie klucze z ruchu sterującego

Cisco Talos opisał KeyDrift, szkodnik grupy UAT-11473 zaprojektowany do działania w kontrolerach Cisco SD-WAN. Daje napastnikom długotrwały dostęp i automatycznie wyprowadza klucze kryptograficzne. Talos z wysoką pewnością ocenia, że infrastruktura grupy w dużej mierze pokrywa się z siecią Silent Train należącą do Volt Typhoon.

Głównym modułem jest PolyFlame, który działa wyłącznie w pamięci. Trafia do systemu przez zmodyfikowane ścieżki usług runit, wstrzykuje się do działających procesów vdaemon albo podszywa się pod program ładujący aaamgrd. Dzięki temu widzi ruch sterujący od środka, z poziomu legalnego procesu kontrolera. Drugi moduł, LittleFilch, czyta odszyfrowane komunikaty sterujące, wyciąga z nich klucze dla wskazanych węzłów brzegowych i przechowuje je lokalnie w zaszyfrowanej postaci, zanim je wyśle.

Kogo dotyczy

Według materiału celem są środowiska kontrolerów Cisco SD-WAN, czyli warstwa sterująca sieci firmowej. Materiał nie podaje, jak napastnicy dostają się do kontrolerów, i nie wymienia poszkodowanych firm.