Cisco Talos свърза зловреден софтуер, който краде ключове от системи на Cisco SD-WAN, с инфраструктура, която се припокрива с мрежата „Silent Train“ на Volt Typhoon — мрежа, която Lumen описа по-рано. Откритието свързва нишка от дейността на Volt Typhoon, използваща zero-day уязвимост в Cisco SD-WAN, с по-широк модел: актьори, свързани с държави, атакуват рутерите и граничните устройства, които пренасят трафика на дадена организация.

Публичното резюме на изследването е кратко, затова тази публикация се придържа към това, което е било докладвано, и обяснява защо то е важно за хората, които управляват мрежова инфраструктура.

Какво откри Talos при атаките срещу SD-WAN

Според доклада Cisco Talos е свързал зловредния софтуер за кражба на ключове, използван срещу Cisco SD-WAN, с инфраструктура, която се припокрива с мрежата Silent Train. Зловредният софтуер атакува ключове в системите на SD-WAN, а дейността е включвала експлоатация на zero-day уязвимост, което означава, че уязвимостта е била използвана преди да е налично поправка.

Резюмето на източника не предоставя повече подробности за конкретни уязвимости, засегнати версии или броя на жертвите, затова няма да спекулираме по тези точки. Администраторите следва да проверят собствените съвети на Cisco за авторитетния списък на засегнатите продукти и коригираните версии.

Как Silent Train свързва дейността с Volt Typhoon

Приписването тук е свързано с припокриване на инфраструктура, а не с декларация, че дадена група със сигурност стои зад всяко проникване. Talos е установил, че сървърите и мрежовите ресурси, свързани със зловредния софтуер, се припокриват със Silent Train, която Lumen описа в собствените си изследвания и свърза с Volt Typhoon.

Припокриването на инфраструктура е полезен сигнал за защитниците. То позволява на екипите по сигурност да сравняват индикатори между разследванията и подсказва, че може да са замесени същите оператори или оператори, споделящи ресурси. Това не е същото като пълно приписване и читателите следва да го третират с това разграничение предвид.

Защо граничните устройства и откраднатите ключове са толкова ценни цели

SD-WAN контролерите и граничните рутери се намират в тясно място. Те свързват клонове, центрове за данни и облачни услуги и често съхраняват криптографския материал, който удостоверява устройствата едно спрямо друго. Кражбата на ключове от такава система може да даде на атакуващия начин да се слее с легитимния трафик или да достигне до други части на мрежата.

Граничното оборудване също е по-трудно за наблюдение от лаптопите или сървърите. Много организации не могат да стартират агенти за сигурност на крайни точки на тези устройства, така че компрометирането може да остане незабелязано за дълги периоди. Това ги прави привлекателни за търпеливи актьори с добри ресурси.

Това не е изолирана тенденция за продуктите на Cisco. Скорошни публикации разгледаха как zero-day уязвимостта в Cisco FMC CVE-2026-20316 беше подложена на активна атака и как три хакерски групи използваха уязвимости в FMC, за да разгърнат рансъмуер Qilin. Управлението и мрежовата инфраструктура продължават да привличат вниманието на много различни видове атакуващи.

Какво трябва да направят администраторите сега, за да коригират и укрепят граничното оборудване

Ако управлявате Cisco SD-WAN или друга гранична инфраструктура, няколко стъпки си заслужава да бъдат приоритизирани:

  • Приложете поправките на Cisco своевременно. Проверете съветите на доставчика за SD-WAN и инсталирайте коригираните версии веднага щом станат достъпни за вашето разгръщане.
  • Одитирайте изложените интерфейси за управление. Контролерите и равнините за управление не трябва да бъдат достъпни от отворения интернет. Ограничете достъпа до доверени мрежи или специален път за управление.
  • Прегледайте и сменете идентификационните данни и ключовете. Тъй като зловредният софтуер атакува ключове, обмислете дали сертификатите и тайните на засегнатите системи трябва да бъдат заменени след коригиране.
  • Проверете журналите за необичайна активност. Търсете неочаквани влизания, промени в конфигурацията или връзки от непознати адреси и ги сравнете с всички индикатори, публикувани от Cisco Talos и Lumen.
  • Сегментирайте и наблюдавайте. Ограничете до какво може да достигне компрометирано гранично устройство и изпращайте журналите му към система, която атакуващите не могат лесно да променят.

Какво означава това за вас

Ако управлявате малък бизнес или управлявана мрежа, може да разчитате на SD-WAN или гранично оборудване, без да се замисляте много за него. Този доклад е напомняне, че тези устройства не са „настрой и забрави“. Те заслужават същата дисциплина при коригиране като сървърите, а често и повече, защото атакуващите знаят, че те се наблюдават слабо.

Ако сте индивидуален потребител, няма едно конкретно действие, което да предприемете въз основа на този доклад. Въпреки това той показва защо поддържането на фърмуера на рутера и защитната стена актуален у дома или в малък офис е важно. Организациите, които обработват вашите данни, са толкова защитени, колкото устройствата, които пренасят техния трафик.

Основни изводи

Връзката между zero-day уязвимостта в Cisco SD-WAN и Volt Typhoon, докладвана от Talos, подчертава как актьорите, свързани с държави, третират граничната инфраструктура като цел с висока стойност. Ако управлявате Cisco или други гранични системи, коригирайте своевременно, одитирайте кои интерфейси за управление са изложени и сменете ключовете там, където е възможно компрометиране. За по-широк поглед върху модела прочетете нашите публикации за уязвимостта в Cisco FMC, експлоатирана от Sandworm и Qilin и за активно експлоатираната zero-day уязвимост в Secure Email Gateway. След това проверете собственото си гранично оборудване още днес.