Cảnh báo: Tin tặc khai thác lỗ hổng Cisco SD-WAN để cài cắm malware đánh cắp khóa mã hóa

Các nhà nghiên cứu từ Cisco Talos vừa công bố báo cáo về một chiến dịch tấn công tinh vi nhắm vào lỗ hổng bảo mật nghiêm trọng trên hệ thống Cisco Catalyst SD-WAN. Kẻ tấn công đã lợi dụng lỗ hổng này để cài cắm một loại malware tùy chỉnh có tên là KeyDrift nhằm đánh cắp các khóa mã hóa lưu lượng giữa các site trong mạng SD-WAN.

Lỗ hổng CVE-2026-20127

Lỗ hổng được định danh là CVE-2026-20127 với điểm CVSS tuyệt đối 10.0. Đây là lỗi cho phép kẻ tấn công từ xa không cần xác thực có thể bypass cơ chế kiểm soát, từ đó giành quyền quản trị trên các hệ thống điều khiển (Controller) của Cisco SD-WAN. Mặc dù Cisco đã phát hành bản vá từ tháng 2/2026, các cuộc tấn công vẫn được ghi nhận là đã diễn ra trước và sau thời điểm công bố.

Cơ chế hoạt động của KeyDrift

KeyDrift được thiết kế để nhắm vào tiến trình vdaemon trên Controller – nơi xử lý các kết nối điều khiển đã mã hóa chứa khóa AES. Malware này bao gồm hai thành phần chính:

• LittleFilch: Thực hiện hook vào tiến trình vdaemon để đọc các thông điệp điều khiển sau khi giải mã, trích xuất địa chỉ IP và khóa AES-256 của các router biên. Dữ liệu này sau đó được mã hóa bằng RSA và gửi đi qua giao thức UDP.
• PolyFlame: Một module backdoor chạy trong bộ nhớ, cho phép kẻ tấn công thực thi lệnh, đọc/ghi tệp tin hoặc đóng vai trò là relay để chuyển tiếp lệnh giữa máy chủ điều khiển và các thiết bị mục tiêu.

Theo Cisco Talos, nhóm đứng sau chiến dịch này (được theo dõi dưới mã UAT-11473) có hạ tầng liên quan đến mạng lưới Silent Train, thường nhắm vào các lĩnh vực nhạy cảm như quốc phòng, hàng không vũ trụ và dịch vụ vệ tinh.

Khuyến nghị từ Cisco

Cisco nhấn mạnh rằng việc cài đặt bản vá là ưu tiên hàng đầu. Tuy nhiên, bản vá chỉ ngăn chặn việc khai thác lỗ hổng chứ không tự động loại bỏ malware nếu hệ thống đã bị xâm nhập từ trước. Các quản trị viên cần thực hiện các bước sau:

• Kiểm tra các dấu hiệu bất thường như sự xuất hiện của các tệp tin lạ (conf_sshd, rsshd, libdssl.so) hoặc các dịch vụ giả mạo trong thư mục /etc/sv/aaamgr/.
• Rà soát tệp log /var/log/auth.log để tìm các truy cập trái phép từ IP lạ.
• Cập nhật các quy tắc Snort mới nhất để phát hiện các kết nối command-and-control của KeyDrift.
• Đối với các hệ thống đã bị xâm nhập, Cisco khuyến nghị thực hiện quy trình ứng cứu sự cố (incident response) và cân nhắc triển khai lại các instance mới từ hình ảnh đã được vá.

Người dùng có thể tham khảo danh sách các phiên bản đã được vá trong thông báo bảo mật chính thức của Cisco để lên kế hoạch nâng cấp hệ thống ngay lập tức.

Nguồn tham khảo: The Hacker News