Cisco SD-WAN Güvenlik Açığı ve Volt Typhoon’un ‘Silent Train’ Ağı İlişkisi

Cisco SD-WAN Güvenlik Açığı ve Volt Typhoon’un ‘Silent Train’ Ağı İlişkisi

Çin merkezli Volt Typhoon grubunun kullandığı gizli bir ağ olan ‘Silent Train’ ile altyapısı örtüşen bir tehdit aktörü, kritik bir Cisco SD-WAN güvenlik açığını istismar ederek şifreleme anahtarlarını toplamak üzere tasarlanmış kötü amaçlı yazılımlar dağıttı. Cisco Talos’un Çarşamba günü bildirdiğine göre, bu durum, Lumen’in Black Lotus Labs tarafından aynı gün yayınlanan ve Volt Typhoon’un ABD’deki kuruluşları hedef aldığı ‘Silent Train’ ağına ilişkin araştırmayla da destekleniyor. Bu ağ, aynı Cisco güvenlik açığını istismar eden bir sıfır gün kampanyasında kullanıldı.

Söz konusu güvenlik açığı, CVE-2026-20127 olarak tanımlanmış olup, CVSS puanı 10’dur ve Şubat 2026’da duyurulmuştur. Saldırganlar, kimlik bilgilerine ihtiyaç duymadan uzaktan bu açığı kullanarak SD-WAN denetleyici bileşenlerinin eşleme kimlik doğrulamasını aşabilir ve yönetici hakları elde edebilirler. Cisco, bu erişimin SD-WAN ağının yapılandırmasını değiştirmek için kullanılabileceği konusunda uyarıyor.

KeyDrift Kötü Amaçlı Yazılımı ve UAT-11473

Saldırganlar, SD-WAN denetleyicilerine KeyDrift kötü amaçlı yazılımını yerleştirdi. Talos, bu saldırıları uzay ve uydu hizmetleri, savunma ve havacılık teknolojisi ile politika araştırmalarını hedef alan oldukça sofistike bir APT olan UAT-11473’e atfediyor. Talos bu etkinliği ‘tarihi’ olarak nitelendirse de saldırıların ne zaman gerçekleştiğini belirtmedi.

Talos’a göre, KeyDrift adlı kötü amaçlı yazılım çerçevesi, operatörlerine SD-WAN denetleyicilerine kalıcı erişim sağlamak ve anahtarlama materyallerini otomatik olarak sızdırmak için tasarlandı. Meşru kontrol düzlemi süreçlerine enjekte edilerek, şifresi çözüldükten sonra kontrol trafiğine erişim sağlıyor. Ana modülü PolyFlame, bir arka kapı olarak işlev görüyor ve aynı zamanda diğer ana bilgisayarlara komutları ara bir komuta ve kontrol (C2) düğümü olarak iletebiliyor. İkinci bir modül olan LittleFilch ise, Talos’un veri düzlemi trafiğini koruyan anahtarları içerdiğine inandığı anahtarlama materyallerini topluyor.

Talos, UAT-11473’ün altyapısının Volt Typhoon’un ‘Silent Train’ gizli erişim ağıyla ‘önemli ölçüde örtüştüğünü’ yüksek güvenle değerlendirdi, ancak iki grubun aynı olduğunu belirtmedi.

Volt Typhoon ve Silent Train’in Sıfır Gün Kampanyaları

Black Lotus Labs, Silent Train’i 2023’ün sonlarından beri izliyor. Bu ağ, saldırganların trafiğini, sık sık değiştirilen ve operatörlerin her oturumdan sonra temizlediği ele geçirilmiş küçük ofis yönlendiricileri, IoT cihazları ve kurumsal sistemler zincirleri aracılığıyla yönlendiriyor. Lumen’in izlemesi yüzlerce mağdur bildirimine yol açtı. Ayrıca, Versa Director, N-able N-central, Cisco Catalyst SD-WAN ve VeloCloud Orchestrator’ı hedef alan en az dört doğrulanmış sıfır gün kampanyasının yanı sıra, Quest KACE’e karşı olası bir sıfır gün kampanyasının da ortaya çıkarılmasına yardımcı oldu.

Lumen’e göre, Volt Typhoon, CVE-2026-20127’yi 2025’in sonlarında istismar etmeye başladı ve Cisco’nun duyurusundan sonra da uzun süre bunu yapmaya devam etti. Grup, bir kuruluş genelinde geniş erişim sunan yönetim platformlarına ve diğer kontrol düzlemi sistemlerine odaklanıyor. Lumen, “Silent Train aracılığıyla yürütülen her sıfır gün kampanyası bu tür platformları hedef aldı” diye belirtti.

Mağdurlar arasında telekomünikasyon firmaları, devlet kurumları, savunma müteahhitleri, uydu ve görev açısından kritik iletişim sağlayıcıları, MSP’ler, askeri bağlantıları olan üniversiteler ve kritik altyapı operatörleri bulunuyor. Hawaii, Kaliforniya ve Teksas en çok hedeflenen eyaletler oldu. Lumen, mağdurolojinin, özellikle Hint-Pasifik bölgesini içeren jeopolitik bir kriz sırasında en önemli olacak sistemlerde dayanak noktaları sağlamaya yönelik bir girişime işaret ettiğini belirtiyor. Ancak, Black Lotus Labs araştırmacısı Mike Horka, gazeteci Kim Zetter’e, bilgisayar korsanlarının askeri operasyonlar ve ağ yapıları hakkında belgeleri de sızdırdığını ve bu faaliyetin ön konumlandırma ve casusluğu birleştirdiğine inandığını söyledi. Lumen’in raporunda KeyDrift veya UAT-11473’ten bahsedilmiyor.

Kaynak: Orijinal haber