یک عامل تهدید که زیرساخت آن با یک شبکه مخفی مورد استفاده توسط گروه Volt Typhoon هم‌پوشانی دارد، از یک آسیب‌پذیری بحرانی در Cisco SD-WAN سوءاستفاده کرد تا بدافزاری را مستقر کند که برای جمع‌آوری کلیدهای رمزگذاری طراحی شده است؛ مرکز Cisco Talos روز چهارشنبه این موضوع را گزارش داد.
در همان روز، آزمایشگاه Black Lotus Labs متعلق به شرکت Lumen پژوهشی درباره آن شبکه، Silent Train، منتشر کرد؛ شبکه‌ای که گروه Volt Typhoon برای هدف قرار دادن سازمان‌های آمریکا از آن استفاده کرده است، از جمله در یک کارزار روز صفر که از همان نقص Cisco سوءاستفاده می‌کرد.
آسیب‌پذیری CVE-2026-20127 دارای امتیاز CVSS برابر با 10 است و در فوریه 2026 افشا شد. مهاجمان بدون نیاز به اعتبارنامه می‌توانند از راه دور آن را اکسپلویت کنند، احراز هویت peering بین مؤلفه‌های کنترلر SD-WAN را دور بزنند و به سطح دسترسی admin برسند. شرکت Cisco هشدار داده است که می‌توان از این دسترسی برای تغییر پیکربندی شبکه SD-WAN استفاده کرد.
مهاجمان بدافزار KeyDrift را روی کنترلرهای SD-WAN کاشتند
به گزارش Talos، حملات به UAT-11473 نسبت داده می‌شود؛ گروهی که به‌عنوان یک APT بسیار پیچیده توصیف شده است و خدمات فضایی و ماهواره‌ای، فناوری‌های دفاعی و هوافضا و پژوهش‌های سیاست‌گذاری را هدف قرار می‌دهد. Talos این فعالیت را تاریخی توصیف کرده است اما زمان وقوع حملات را اعلام نکرده است.
به گفته Talos، چارچوب بدافزاری با نام KeyDrift برای فراهم کردن دسترسی ماندگار گردانندگان به کنترلرهای SD-WAN و برای برداشت خودکار مواد کلیدگذاری طراحی شده است. این کد به فرآیندهای معتبر control-plane تزریق می‌شود و در نتیجه پس از رمزگشایی، به ترافیک کنترلی دسترسی پیدا می‌کند.
ماژول اصلی آن، PolyFlame، به‌عنوان یک backdoor عمل می‌کند و می‌تواند به‌عنوان یک گره میانجی فرماندهی و کنترل (C2) فرمان‌ها را به میزبان‌های دیگر رله کند. ماژول دوم، LittleFilch، مواد کلیدگذاری را جمع‌آوری می‌کند؛ به باور Talos این شامل کلیدهایی است که از ترافیک data-plane محافظت می‌کنند.
Talos با اطمینان بالا ارزیابی کرده است که زیرساخت UAT-11473 با شبکه دسترسی مخفی Silent Train که گروه Volt Typhoon از آن استفاده می‌کند، هم‌پوشانی قابل‌توجهی دارد. این مرکز نگفته است که این دو گروه یکی هستند.
گروه Volt Typhoon از Silent Train در چند کارزار روز صفر استفاده کرده است
آزمایشگاه Black Lotus Labs از اواخر 2023 Silent Train را پایش کرده است. این شبکه ترافیک مهاجمان را از زنجیره‌هایی از روترهای کوچک دفاتر، دستگاه‌های IoT و سامانه‌های سازمانی که مرتباً جایگزین می‌شوند عبور می‌دهد و گردانندگان پس از هر نشست ردپاها را پاک می‌کنند.
نظارت شرکت Lumen به ارسال صدها اعلان به قربانیان انجامید. این نظارت همچنین به شناسایی دست‌کم چهار کارزار روز صفر تأییدشده کمک کرد که پلتفرم Versa Director، محصول N-able N-central، راهکار Cisco Catalyst SD-WAN و سامانه VeloCloud Orchestrator را هدف قرار می‌دادند؛ افزون بر این، یک کارزار روز صفر احتمالی علیه پلتفرم Quest KACE نیز مشاهده شد.
به گفته شرکت Lumen، گروه Volt Typhoon تا اواخر 2025 از CVE-2026-20127 سوءاستفاده می‌کرد و مدت‌ها پس از افشای شرکت Cisco نیز به این کار ادامه داد. این گروه بر پلتفرم‌های مدیریتی و سایر سامانه‌های لایه کنترل که دسترسی گسترده در سراسر یک سازمان فراهم می‌کنند تمرکز دارد.
شرکت Lumen تأکید کرد: «هر کارزار روز صفر از طریق شبکه Silent Train همین نوع پلتفرم‌ها را هدف قرار داد.»
قربانیان شامل شرکت‌های مخابراتی، نهادهای دولتی، پیمانکاران دفاعی، ارائه‌دهندگان ارتباطات ماهواره‌ای و مأموریت‌حیاتی، ارائه‌دهندگان خدمات مدیریت‌شده MSP، دانشگاه‌های دارای پیوندهای نظامی و بهره‌برداران زیرساخت حیاتی هستند. ایالت‌های Hawaii، California و Texas بیشترین هدف قرار گرفتند.
به گفته شرکت Lumen، الگوی قربانیان نشان می‌دهد تلاشی برای ایجاد جای پا در سامانه‌هایی صورت گرفته که در بحران‌های ژئوپلیتیکی بیشترین اهمیت را دارند، به‌ویژه بحرانی که منطقه Indo-Pacific را دربرگیرد. با این حال، پژوهشگر واحد Black Lotus Labs آقای Mike Horka به روزنامه‌نگار Kim Zetter گفت که هکرها همچنین اسنادی درباره عملیات نظامی و ساختار شبکه‌ها را خروج داده‌اند و او معتقد است این فعالیت آمیزه‌ای از پیش‌استقرار و جاسوسی است.
گزارش شرکت Lumen هیچ اشاره‌ای به بدافزار KeyDrift یا شناسه UAT-11473 ندارد.
