Schadsoftware in einem Netzwerkcontroller kann die Geheimnisse, die den Datenverkehr zwischen Niederlassungen schützen, in Reichweite eines Angreifers bringen.
Cisco Talos veröffentlichte am 28. Oktober eine Analyse historischer KeyDrift-Aktivitäten. Darin wird ein Malware-Framework beschrieben, das eingesetzt wurde, nachdem Angreifer eine Authentifizierungsschwachstelle in Cisco Catalyst SD-WAN ausgenutzt hatten. Die Forscher gehen davon aus, dass es darauf ausgelegt war, den Zugriff aufrechtzuerhalten und Verschlüsselungsschlüssel zu sammeln. Zu den beobachteten Zielen gehörten Organisationen aus den Bereichen Satellitendienste, Verteidigung, Luft- und Raumfahrt sowie Politikforschung.
Für Sicherheitsteams werfen die Erkenntnisse zwei Fragen auf: Haben die anfälligen Controller den Fix erhalten, und hatten die Angreifer bereits zuvor Zugriff erlangt?
So arbeitet KeyDrift in Netzwerkcontrollern
Laut der Untersuchung von Cisco Talos, nutzte eine als UAT-11473 erfasste Gruppe CVE-2026-20127 aus, um KeyDrift zu installieren.
Die Komponente PolyFlame läuft innerhalb legitimer Controller-Prozesse und unterstützt Backdoor-Befehle. Eine weitere Komponente namens LittleFilch untersucht entschlüsselte Steuernachrichten und extrahiert daraus laut Einschätzung von Talos AES-256-IPsec-Schlüsselmaterial, das zum Schutz des SD-WAN-Datenverkehrs verwendet wird. Die gesammelten Informationen werden verschlüsselt gespeichert und können übertragen werden.
Talos beschreibt die Angriffe als historisch. Die Bewertung von Infrastrukturüberschneidungen mit dem Silent-Train-Netzwerk von Volt Typhoon belegt nicht, dass UAT-11473 und Volt Typhoon derselbe Akteur sind.
Das umfassendere Risiko von Managementsystemen zeigt sich auch bei Angriffen, die eine Schwachstelle in Arista VeloCloud Orchestrator ausnutzen und begrenzten Portalzugriff in privilegierte Bedienerrechte umwandeln können. Dabei handelt es sich um eine separate Schwachstelle und einen separaten Vorfall.
Die zugrunde liegende Cisco-Schwachstelle ist bereits gepatcht
Cisco legte CVE-2026-20127 erstmals im Februar offen. In seinem Sicherheitsbulletin wird die Authentifizierungsumgehung mit 10,0 bewertet; außerdem werden betroffene Controller-, Manager- und Validator-Software aufgeführt.
Ein nicht authentifizierter Angreifer aus der Ferne kann Administratorrechte erlangen. Auf einem betroffenen Controller umfasst dieser Zugriff ein privilegiertes Nicht-Root-Konto, das die Manipulation der SD-WAN-Konfiguration über NETCONF ermöglicht.
Cisco hat Fehlerbehebungen veröffentlicht und erklärt, dass kein Workaround die Schwachstelle beseitigt. Administratoren sollten die installierte Version jeder Steuerungskomponente mit der Tabelle der behobenen Software im Advisory abgleichen und vor dem Upgrade die Kompatibilität prüfen.
Separate Sicherheitsupdates von Cisco Meraki betreffen eigene Produkte und Firmware-Anforderungen. Der Abschluss eines Meraki-Updates belegt nicht, dass ein Catalyst-SD-WAN-Controller bereinigt wurde.
Was Administratoren vor dem Abschluss der Reaktion prüfen sollten
Cisco empfiehlt, /var/log/auth.log auf unerwartete Anmeldungen per öffentlichem Schlüssel über das Konto vmanage-admin zu prüfen und die Quell-IP-Adressen mit den in SD-WAN Manager konfigurierten System-IPs abzugleichen. Außerdem sollten Ereignisse beim Peering von Steuerverbindungen mit autorisierten IP-Adressen, Geräterollen, Wartungsfenstern und Änderungsprotokollen abgeglichen werden.
Für diese Prüfungen braucht es einen Verantwortlichen und ein dokumentiertes Ergebnis. Eine aussagekräftige Prüfung sollte klären, welche Komponenten exponiert waren, wann sie gepatcht wurden und ob die verfügbaren Protokolle den Zeitraum vor der Behebung abdecken. Fehlende Nachweise sollten als Sichtbarkeitslücke dokumentiert werden, statt eine leere Suche als Sicherheitsbeleg zu werten.
Sichern Sie relevante Beweise, bevor Sie Änderungen vornehmen, sofern dies betrieblich möglich ist. Wenn verdächtiger Zugriff festgestellt wird, sollten Incident-Responder und der Cisco-Support hinzugezogen werden, um das Ausmaß und die Schritte zur Wiederherstellung zu bestimmen. Vermeiden Sie isolierte Konfigurationsänderungen, die die Verbindung zu Niederlassungen beeinträchtigen oder Beweise unkenntlich machen könnten.
Zugriffsbeschränkungen verdienen eine gesonderte Prüfung. Ciscos Leitfaden zur Absicherung von SD-WAN empfiehlt, den Zugriff auf vertrauenswürdige Quellen zu beschränken und Managementschnittstellen von öffentlich zugänglicher Transportinfrastruktur zu trennen.
Unternehmen, die einen Managed Service nutzen, sollten den Anbieter nach dem Patch-Status auf Komponentenebene und dem Ergebnis seiner Prüfungen auf eine mögliche Kompromittierung fragen. Die allgemeine Aussage, dass „das Netzwerk aktualisiert wurde“, lässt wichtige Fragen unbeantwortet.
Wenn eine Untersuchung darauf hindeutet, dass Geheimnisse offengelegt wurden, sollten deren Ersetzung, die Eindämmung und die Wiederherstellung koordiniert werden. Die separate Entdeckung von geleakten AWS-Schlüsseln, die weiterhin aktiv waren zeigt, warum die Beseitigung der ursprünglichen Offenlegung und die Ungültigmachung betroffener Zugangsdaten unterschiedliche Aufgaben sind. AWS-Zugangsdaten und SD-WAN-Verschlüsselungsschlüssel erfordern unterschiedliche Wiederherstellungsverfahren.
Die Reaktion sollte daher zu zwei Schlussfolgerungen führen: zu einem Nachweis, dass die anfällige Software behoben wurde, und zu einer Einschätzung, ob ein unbefugter Zugriff stattgefunden hat. Ein erfolgreiches Upgrade beantwortet die erste Frage. Die zweite erfordert eine Untersuchung.
Mehr lesen: Erweitern Sie Ihre Prüfung der Netzwerksicherheit auf die fünf kritischen Cisco-Nexus-Schwachstellen, betroffenen Konfigurationen und Abhilfemaßnahmen.