시스코 탈로스는 새로 식별한 APT 조직 UAT-11473이 시스코 카탈리스트 SD-WAN 컨트롤러의 최고 심각도 취약점 CVE-2026-20127을 악용해 맞춤형 악성코드 '키드리프트'를 심고 있다고 밝혔다. 이 인증 우회 결함은 원격 공격자가 높은 권한을 얻고 가짜 피어를 추가하게 하며, 시스코는 올해 2월 패치를 내놨다.
키드리프트는 SD-WAN 컨트롤러에서 오래 버티며 암호 키 재료를 자동으로 빼돌리도록 만들어진 프레임워크다. 구성 요소 폴리플레임은 정상 vdaemon 프로세스 안에서 돌며 명령 실행, 파일 전송, 공격자 서버와 피어 사이의 트래픽 중계를 맡는다.
다른 구성 요소 리틀필치는 SSL_read를 가로채 복호화된 제어 평면 메시지를 읽는다. 여기서 IP 식별자와 32바이트 필드를 뽑는데, 탈로스는 이를 AES-256 IPsec 데이터 평면 키 자료로 본다. 값은 RSA로 암호화해 /var/tmp/vdaemon.bin에 저장한 뒤 UDP로 공격자에게 보낸다.
표적은 우주·위성 서비스, 국방·항공우주 기술, 정책 연구 기관이다. 탈로스는 UAT-11473이 볼트 타이푼의 '사일런트 트레인' 네트워크와 겹치는 것으로 보이나 연관성을 확정하지는 않았다. 시스코는 CVE-2026-20127 보안 업데이트를 적용하고 카탈리스트 SD-WAN 하드닝 가이드를 따르라고 권고했다.
원문: BleepingComputer
이 글은 원문에 담긴 사실을 바탕으로 Raon Community가 새로 작성한 기사입니다. 원문의 저작권은 원저작자에게 있으며, 자세한 내용은 원문에서 확인해 주세요.