Cisco SD-WAN Açığında Hackerlar Özel Malware Yaydı

Cisco Catalyst SD-WAN'da bulunan kritik bir güvenlik açığı, hackerlar tarafından istismar edilerek KeyDrift adında özel bir zararlı yazılımın yayılmasına yol açtı. Bu açık, Şubat ayında düzeltildi ancak hackerlar, bu açığı kullanarak SD-WAN ağlarını kontrol eden sistemlere malware yerleştirdi. Cisco Talos'un 28 Ekim'de yaptığı açıklamaya göre, KeyDrift, siteler arasındaki trafiği şifreleyen anahtarları kopyalamak ve daha sonra kullanmak üzere saklamak amacıyla tasarlanmış bir yazılım.

Cisco SD-WAN Açığı ve Etkileri

Açığın CVE-2026-20127 olarak takip edildiği ve CVSS puanının 10.0 olduğu belirtiliyor. Bu durum, kimlik doğrulama gerektirmeyen uzaktan bir saldırganın bu kontrol sistemlerine yönetici ayrıcalıklarıyla giriş yapabilmesine olanak tanıyor. Saldırgan, bir denetleyici üzerinde yüksek ayrıcalıklı bir iç hesap olarak oturum açabiliyor. Cisco, bu açığı Şubat ayında duyurduğunda, Talos bu istismarları UAT-8616 olarak takip etti ve bu etkinliğin en az 2023 yılına kadar uzandığını belirtti.

KeyDrift Malware'ın Çalışma Şekli

Cisco'nun geleneksel anahtar değişiminde, her SD-WAN yönlendiricisi belirli aralıklarla AES anahtarı üretir ve bunu Catalyst SD-WAN Denetleyicisi'ne gönderir. Denetleyici, bu anahtarları diğer yönlendiricilere iletir. Ancak, bir tehlikeye maruz kalmış denetleyicide, KeyDrift bileşeni olan LittleFilch, vdaemon'a bağlanarak kontrol mesajlarını okur. Belirli bir listeye göre, kenar yönlendiricilerin IP adreslerini ve 32 baytlık bir alanı çeker. Bu alan, Talos tarafından AES-256 anahtar materyali olarak değerlendirilir.

Hackerların Hedefleri ve Altyapıları

KeyDrift'in arkasında bulunan grup, Talos tarafından UAT-11473 olarak takip ediliyor ve uzay ile uydu hizmetleri, savunma ve havacılık teknolojileri gibi alanlara yönelik saldırılar gerçekleştiriyor. Bu grubun altyapısının, Lumen'in Black Lotus Labs tarafından kullanılan Silent Train ağı ile önemli ölçüde örtüştüğü değerlendiriliyor. Lumen, Volt Typhoon'un bu ağı kullanarak faaliyetlerini gizlediğini belirtti. CISA, NSA ve FBI, 2024'te Volt Typhoon'un bir Çin devlet destekli siber grup olduğunu ifade etti.

Cisco'nun Güvenlik Önlemleri ve Tavsiyeleri

Cisco, bu açığın sınırlı bir şekilde istismar edildiğinden haberdar olduklarını açıkladı. Kullanıcıların, Cisco'nun güvenlik güncellemelerini yüklemeleri, Catalyst SD-WAN sertleştirme kılavuzuna uymaları ve olası bir ihlal sonrasında aktivite belirtilerini izlemeleri öneriliyor. Ancak, bu tavsiyeler, KeyDrift'in zaten tehlikeye maruz kalmış bir cihazdan kaldırılıp kaldırılmayacağına dair net bir bilgi vermiyor.

Sonuç

Cisco Catalyst SD-WAN'daki bu kritik güvenlik açığı, hem kullanıcıların hem de şirketlerin dikkat etmesi gereken önemli bir tehdit oluşturuyor. Kullanıcıların, Cisco'nun sağladığı güncellemeleri ve güvenlik önlemlerini takip etmeleri, bu tür saldırılara karşı korunmalarına yardımcı olacaktır.