2026/10/29 CyberSecurityNews —
国家との関連が指摘される攻撃者グループが、深刻度が最高値の Cisco SD-WAN のゼロデイ脆弱性を悪用してネットワーク・コントローラに侵入し、KeyDrift と呼ばれる独自のマルウェア・フレームワークを設置していた。この脆弱性 CVE-2026-20127 (CVSS 10.0) を悪用する、未認証のリモート攻撃者は、パスワードなしで管理者権限を取得できる。
Cisco SD-WAN ネットワークの制御システム内で密かに動作する KeyDrift は、企業の拠点間通信を保護する暗号鍵の窃取とバックドアとしての機能を備えている。このマルウェアを特定し、2026年10月28日に調査結果を公表した Cisco Talos の研究者によると、これまでに確認された標的には、衛星サービス／防衛関連企業／政策研究機関などが含まれている。
Talos は、この攻撃者グループを UAT-11473 と識別し、高度な能力を持つ持続的標的型攻撃 (APT) グループと評価している。同社は今回の活動について、過去に実施されたものであると説明しているが、侵入の発生時期や、窃取された暗号鍵が実際に外部へ送信されたかどうかは明らかにしていない。
攻撃者が Cisco SD-WAN の深刻なゼロデイ脆弱性を悪用
この脆弱性は、Catalyst SD-WAN Controller／Manager／Validator のピア間の認証処理に存在し、攻撃者は細工したリクエストを送信することで、高権限を持つ内部ユーザーとしてログインできる。これにより、NETCONF へのアクセスが可能となり、ネットワーク設定を変更できる。
Cisco によると、この脆弱性に回避策は存在せず、修正パッチの適用が唯一の解決方法となる。その後、研究者が脆弱性 CVE-2026-20127 に対する概念実証コード (PoC) を公開したことで、未修正のシステムに対するリスクが高まっている。
侵入後の攻撃者は、runit サービスの起動処理に使用されるスクリプトを変更し、通常のサービスとともにマルウェアが起動するようにしていた。具体的には、conf_sshd というスクリプトが実行中の vdaemon プロセスを検出し、rsshd というツールが各プロセスに主要モジュールを注入する。
.png)
この主要モジュールが PolyFlame である。PolyFlame はメモリ内のみに存在し、コマンド実行／ファイルの読み取り／書き込みが可能なバックドアとして機能する。また、他の感染端末へ向けた命令を中継する機能も備えている。亜種の 1つは、正規の aaamgr サービスを装い、デバッグ対策の検査機能を使用して活動を隠蔽する。
2つ目のモジュールである LittleFilch は、暗号鍵の窃取を担当しており、vdaemon 内の SSL_read 関数をフックして復号後の制御メッセージを読み取る。さらに、あらかじめ設定されたエッジ・ルータの一覧を対象として、IP アドレスと32バイトのフィールドを取得する。Talos は、この32バイトのデータが、IPsec 通信に使用される AES-256 の暗号鍵であると考えている。
LittleFilch は、窃取したデータを RSA で暗号化してファイルに保存するとともに、設定ファイルに記載された宛先へ UDP 経由で送信する機能も備えているが、この設定ファイルは読み取り後に削除される。
Volt Typhoon との関連と防御方法
UAT-11473 が使用するインフラと、Volt Typhoon に関連する秘密のアクセス・ネットワーク Silent Train との間に大きな重複があると、Talos は高い確信度で判断している。Volt Typhoon にはルータを乗っ取った実績があり、Volt Typhoon による Cisco ルータへの攻撃に関する過去の報道では、エッジデバイスを秘密の通信中継拠点として利用する手法も明らかになっている。
Cisco は 2026年2月に脆弱性 CVE-2026-20127 を修正しており、最初の修正済みバージョンは、使用しているリリース系列に応じて、20.9.8.2／20.12.6.1／20.15.4.2／20.18.2.1 となる。そのため、すべてのコントローラで修正版が稼働していることを確認する必要があり、20.9 より古いバージョンを使用している場合は、サポート対象のリリースへ移行する必要がある。
アップグレードが完了するまでは、ポート 22 および 830 へのアクセスを、許可されたコントローラの IP アドレスに制限することが推奨されるが、この対策により、すでに侵入しているマルウェアが削除されるわけではない。
.webp)
過去に脆弱性の影響を受けている場合には、修正パッチの適用だけでは十分ではなく、侵害の痕跡を調査する必要がある。具体的には、”/var/log/auth.log” を確認し、不明な IP アドレスからの Accepted publickey for vmanage-admin というログエントリの調査が必要になる。
また、以下の IoC 一覧に記載されている、ファイルの有無も確認する必要がある。Cisco TAC にサポートケースを作成する前の段階で、各制御コンポーネントで request admin-tech を実行することが推奨される。
同じ vdaemon サービスに影響し、実際の悪用も確認されている別の脆弱性 CVE-2026-20182 にも注意する必要がある。詳細な対応方法については、Cisco のセキュリティ・アドバイザリを参照する必要がある。
侵害指標 (IoC)
| Type | Indicator | Description |
|---|---|---|
| CVE | CVE-2026-20127 | Authentication bypass, CVSS 10.0 |
| Threat actor | UAT-11473 | APT group behind KeyDrift |
| Malware | KeyDrift | Custom framework |
| Module | PolyFlame (libdssl.so) | In-memory backdoor and relay |
| Module | LittleFilch (libcommon.so) | Key-stealing SSL_read hook |
| Injector | rsshd | Injects libdssl.so into vdaemon |
| Script | conf_sshd | Finds vdaemon PIDs and starts injection |
| Loader | aaamgrd | Packed PolyFlame variant posing as aaamgr |
| Path | /etc/sv/aaamgr/ | Malicious service path |
| Path | /etc/sv/sshd/ | Modified runit launcher path |
| File | /var/tmp/vdaemon.bin | RSA-encrypted stolen key data |
| File | /var/tmp/vdaemon.conf | Endpoint config, deleted after reading |
| File | /tmp/system-vdaemon | List of vdaemon PIDs |
| Log entry | Accepted publickey for vmanage-admin | Check in /var/log/auth.log for unknown IPs |
| Snort 2 SIDs | 67387–67416 | KeyDrift detection rules |
| Snort 3 SIDs | 7:44–7:73 | KeyDrift detection rules |
| Snort SIDs | 65938, 65958 | CVE-2026-20127 detection |
注：IP アドレスとドメインは、意図しない名前解決やハイパーリンク化を防ぐため、[.] などを使用して意図的に無効化されている。元の形式に戻す操作は、MISP、VirusTotal、SIEM など、管理された脅威インテリジェンス環境内でのみ実施する必要がある。
国家関連の攻撃者グループによる、Cisco SD-WAN のゼロデイ脆弱性 CVE-2026-20127 (CVSS 10.0) を突いたネットワーク・コントローラへの侵入と独自のマルウェア・フレームワーク設置を取り上げる記事です。認証回避による管理者権限の取得、暗号鍵の窃取、バックドアとしての機能が解説されています。攻撃者は、ネットワーク制御システム内で密かに動作するマルウェアを通じて拠点間通信を保護する暗号鍵を窃取し、さらに Volt Typhoon に関連するインフラの重複も指摘されています。このような重大なリスクに対処するためには、最新の修正パッチの適用、ポートアクセス制限の設定、侵害の痕跡に関する調査の実施が求められます。
You must be logged in to post a comment.