Cisco SD-WAN bị khai thác: APT UAT-11473 tung malware KeyDrift

Một lỗ hổng đã vá, nhưng vẫn bị dùng để xâm nhập

Cisco Talos vừa công bố một chiến dịch tấn công nhắm vào các triển khai Cisco Catalyst SD-WAN, trong đó nhóm tấn công có tổ chức được theo dõi với mã UAT-11473 khai thác lỗ hổng CVE-2026-20127 để cài một framework malware tùy biến có tên KeyDrift. Điều đáng chú ý: lỗ hổng này đã được Cisco vá từ tháng 2/2026, nhưng kẻ tấn công vẫn tìm được các hệ thống chưa cập nhật để khai thác.

Đây là kiểu sự cố cho thấy khoảng cách giữa "đã có bản vá" và "đã vá thực tế" vẫn là một trong những lỗ hổng lớn nhất trong vận hành hạ tầng mạng doanh nghiệp.

CVE-2026-20127 nguy hiểm ở đâu

Theo mô tả từ Cisco, CVE-2026-20127 là lỗ hổng bỏ qua xác thực (authentication bypass) mức nghiêm trọng tối đa, cho phép kẻ tấn công từ xa có được quyền đặc biệt trên Catalyst SD-WAN Controller và Manager, từ đó thêm các peer giả mạo vào hệ thống. Nói cách khác, kẻ tấn công có thể chen một thiết bị không hợp lệ vào mạng điều khiển SD-WAN mà không cần thông tin đăng nhập hợp lệ.

Đáng lo hơn, cùng lỗ hổng này từng bị nhóm UAT-8616 khai thác như zero-day ít nhất từ năm 2023, và các nghiên cứu gần đây liên hệ hoạt động đó với nhóm tin tặc do nhà nước Trung Quốc hậu thuẫn Volt Typhoon. Talos nhận định cụm UAT-11473 có dấu hiệu chồng lấn với mạng truy cập bí mật "Silent Train" của Volt Typhoon, nhưng nhóm nghiên cứu chưa đưa ra kết luận chắc chắn về mối liên hệ này. Trước đó một ngày, Lumen công bố báo cáo cho thấy framework Silent Train giúp Volt Typhoon né phát hiện trong các vụ khai thác zero-day.

KeyDrift hoạt động thế nào

Các vụ tấn công mà Cisco quan sát nhắm vào lĩnh vực dịch vụ không gian và vệ tinh, công nghệ quốc phòng – hàng không vũ trụ, và các tổ chức nghiên cứu chính sách. Đây đều là những mục tiêu có giá trị tình báo cao, nơi dữ liệu mạng và khóa mã hóa có thể bị dùng cho mục đích do thám dài hạn.

Theo Talos, KeyDrift được thiết kế để chạy ngay bên trong các tiến trình control-plane của SD-WAN. Framework này có khả năng chặn bắt lưu lượng điều khiển đã được giải mã, trích xuất metadata của phiên điều khiển và vật liệu khóa của data-plane, rồi lưu trữ hoặc truyền dữ liệu thu thập được qua các bản ghi mã hóa. Talos đánh giá với độ tin cậy cao rằng mục tiêu của framework là duy trì truy cập lâu dài và tự động hóa việc đánh cắp khóa.

KeyDrift gồm hai thành phần chính là PolyFlame và LittleFilch, và Talos ghi nhận dấu hiệu hai thành phần này vẫn đang được phát triển tiếp, bao gồm cơ chế chống debug mới và nhiều cách giả mạo tiến trình khác nhau.

• PolyFlame chạy bên trong tiến trình hợp lệ vdaemon, thông qua việc chỉnh sửa script khởi động dịch vụ và một injector để triển khai. Thành phần này hỗ trợ thực thi lệnh qua một module kiểu TinyShell, tải file lên và xuống, đồng thời làm trung chuyển liên lạc giữa máy chủ command-and-control (C2) của kẻ tấn công với nhiều peer.
• LittleFilch là module chặn bắt phiên điều khiển, hook vào SSL_read để kiểm tra các thông điệp control-plane sau khi chúng đã được giải mã bên trong controller. Với các edge node được định trước, nó trích xuất định danh IP và một trường 32 byte mà Talos đánh giá là vật liệu khóa AES-256 IPsec của data-plane. Dữ liệu thu được được mã hóa bằng RSA, lưu vào /var/tmp/vdaemon.bin, rồi gửi qua UDP về phía kẻ tấn công.

Ảnh: BleepingComputer

Điểm đáng lo là LittleFilch không cần phá mã: nó đọc dữ liệu sau khi controller đã giải mã, tức là đứng ngay sau lớp mã hóa hợp lệ. Đây là lý do vì sao việc chỉ dựa vào mã hóa đường truyền không đủ để phát hiện xâm nhập ở lớp điều khiển.

Vì sao độc giả kỹ thuật Việt Nam nên quan tâm

SD-WAN đã trở thành hạ tầng quen thuộc ở nhiều doanh nghiệp Việt Nam có nhiều chi nhánh, nhà máy hoặc kết nối cloud. Cisco Catalyst SD-WAN nằm trong nhóm sản phẩm được triển khai rộng rãi tại các tổ chức tài chính, viễn thông, sản xuất và cơ quan nhà nước. Khi một lỗ hổng bỏ qua xác thực trên controller bị khai thác, phạm vi ảnh hưởng không dừng ở một thiết bị: kẻ tấn công có thể chen peer giả, quan sát hoặc thao túng luồng điều khiển giữa các site.

Với đội bảo mật và quản trị hạ tầng, sự cố này nhắc lại vài việc cần kiểm tra ngay:

1. Rà lại phiên bản controller và manager so với bản vá CVE-2026-20127 mà Cisco phát hành tháng 2/2026. Các hệ thống triển khai từ trước thời điểm đó nhưng chưa nâng cấp là nhóm rủi ro cao nhất.
2. Kiểm tra danh sách peer trong SD-WAN có thiết bị lạ nào không, đặc biệt là peer được thêm ngoài quy trình cấp phép.
3. Soát tiến trình vdaemon và các script khởi động dịch vụ bị chỉnh sửa bất thường. KeyDrift lợi dụng chính tiến trình hợp lệ này để ẩn mình.
4. Kiểm tra file /var/tmp/vdaemon.bin và lưu lượng UDP ra ngoài bất thường từ controller. Đây là dấu vết cụ thể mà Talos nêu trong báo cáo.
5. Rà log xác thực và thay đổi cấu hình trên controller, đặc biệt ở các khung giờ ngoài giờ làm việc.

Với nhóm làm SOC/IR, việc phát hiện KeyDrift đòi hỏi telemetry ở lớp tiến trình chứ không chỉ ở lớp mạng. Việc hook SSL_read bên trong tiến trình hợp lệ thường không để lại dấu hiệu rõ ràng trong log ứng dụng, nên giám sát EDR trên chính các controller — nếu nền tảng cho phép — là hướng cần tính đến.

Cách xử lý và thử nghiệm nhanh

Cisco khuyến nghị quản trị viên áp dụng các bản cập nhật bảo mật cho CVE-2026-20127 và tham khảo hướng dẫn hardening riêng của hãng cho các triển khai Catalyst SD-WAN. Các bước thực tế nên làm theo thứ tự:

• Xác định toàn bộ controller và manager trong hệ thống, kể cả các instance lab hoặc DR ít được chú ý.
• Đối chiếu phiên bản hiện tại với khuyến nghị trong bản tin bảo mật của Cisco cho CVE-2026-20127.
• Lên kế hoạch nâng cấp theo cửa sổ bảo trì; với hệ thống không thể nâng cấp ngay, áp dụng các biện pháp giảm thiểu trong hardening guide và tăng cường giám sát.
• Rà soát cấu hình peer, tài khoản và chứng chỉ; thu hồi những gì không còn cần thiết.
• Nếu phát hiện dấu hiệu bất thường, cân nhắc cô lập controller khỏi internet ở mức tối đa có thể và đưa vào quy trình điều tra sự cố.

Với các đội muốn kiểm tra nhanh trên thiết bị, các lệnh Linux cơ bản dưới đây giúp soi những dấu vết mà báo cáo Talos nêu (chạy trong môi trường được cấp phép):

# Kiểm tra file nghi vấn mà LittleFilch dùng để lưu dữ liệu
ls -la /var/tmp/vdaemon.bin 2>/dev/null

# Xem tiến trình vdaemon và các tiến trình con bất thường
ps aux | grep -i vdaemon

# Kiểm tra script khởi động dịch vụ bị sửa
ls -la /etc/init.d/ | grep -i vdaemon

Đây chỉ là bước sàng lọc ban đầu, không thay thế điều tra đầy đủ. Nếu tìm thấy file lạ, nên thu thập mẫu và đối chiếu với thông tin IOC từ Cisco Talos trước khi xóa.

Hạn chế và điều cần cân nhắc

Báo cáo hiện chưa nêu rõ số lượng tổ chức bị ảnh hưởng, thời điểm bắt đầu chiến dịch hay danh sách IOC đầy đủ. Talos cũng chưa khẳng định chắc chắn mối liên hệ giữa UAT-11473 và Volt Typhoon, mà chỉ nêu khả năng chồng lấn với mạng "Silent Train". Việc quy kết theo quốc gia cần thận trọng, vì các nhóm APT thường dùng hạ tầng và công cụ chung.

Một điểm nữa: KeyDrift vẫn đang được phát triển, nghĩa là các dấu vết kỹ thuật có thể thay đổi theo thời gian. Các biện pháp phát hiện dựa trên tên file hay tên tiến trình sẽ nhanh chóng lỗi thời; kiểm soát cấu hình, vá lỗ hổng và giám sát hành vi tiến trình vẫn là lớp phòng thủ bền vững hơn.

Kết luận

CVE-2026-20127 một lần nữa cho thấy các thiết bị điều khiển mạng — controller SD-WAN, VPN gateway, firewall quản trị tập trung — là mục tiêu hấp dẫn vì chúng nắm khóa và luồng điều khiển của cả hệ thống. Với các tổ chức đang vận hành Cisco Catalyst SD-WAN, việc kiểm tra phiên bản và rà soát peer ngay trong tuần này là bước tối thiểu cần làm, trước khi tính đến các biện pháp phát hiện tinh vi hơn.

Nguồn: BleepingComputer