Cisco Talosは、Cisco SD-WANシステムから鍵を窃取するマルウェアを、Lumenが以前に詳細を明らかにしたVolt Typhoonの「Silent Train」ネットワークと重複するインフラに結び付けた。この発見により、Cisco SD-WANゼロデイに関するVolt Typhoonの活動の一連の流れが、より広範なパターンへとつながる。すなわち、国家に関連するアクターが、組織のトラフィックを運ぶルーターやエッジデバイスを標的にしているというパターンである。

調査の公開概要は簡潔であるため、本記事は報告された内容に限定し、ネットワークインフラを運用する人々にとってなぜ重要かを説明する。

TalosがSD-WAN攻撃で発見したもの

報告によると、Cisco TalosはCisco SD-WANに対して使用された鍵窃取マルウェアを、Silent Trainネットワークと重複するインフラに結び付けた。このマルウェアはSD-WANシステム上の鍵を標的としており、その活動にはゼロデイ悪用が含まれていた。つまり、修正プログラムが利用可能になる前に脆弱性が使用されたということである。

情報源の概要には、具体的な脆弱性、影響を受けるバージョン、被害者数についての詳細は記載されていないため、これらの点について推測は行わない。管理者は、影響を受ける製品と修正済みリリースの正式なリストについて、Cisco自身のアドバイザリを確認すべきである。

Silent Trainがどのようにこの活動をVolt Typhoonに結び付けるか

ここでの帰属はインフラの重複に関するものであり、あるグループがすべての侵入の背後に確実にいるという宣言ではない。Talosは、マルウェアに関連するサーバーおよびネットワークリソースがSilent Trainと重複することを発見した。Silent TrainはLumenが独自の調査で説明し、Volt Typhoonに関連付けたものである。

インフラの重複は防御側にとって有用なシグナルである。これによりセキュリティチームは調査間で指標を比較でき、同一のオペレーター、またはリソースを共有するオペレーターが関与している可能性を示唆する。これは完全な帰属と同じではなく、読者はその区別を念頭に置いて扱うべきである。

なぜエッジデバイスと窃取された鍵がそれほど価値のある標的なのか

SD-WANコントローラーとエッジルーターはチョークポイントに位置する。它們は支店、データセンター、クラウドサービスを接続し、多くの場合、デバイス同士を認証する暗号資産を保持している。このようなシステムから鍵を窃取することで、攻撃者は正規のトラフィックに紛れ込んだり、ネットワークの他の部分に到達したりする手段を得られる可能性がある。

エッジ機器はまた、ラップトップやサーバーよりも監視が難しい。多くの組織はこれらのアプライアンス上でエンドポイントセキュリティエージェントを実行できないため、侵害が長期間にわたって気付かれない可能性がある。そのため、忍耐強くリソースのあるアクターにとって魅力的なのである。

これはCisco製品に限った孤立した傾向ではない。最近の報道では、Cisco FMCゼロデイCVE-2026-20316が活発な攻撃を受けていることや、3つのハッカーグループがFMCの脆弱性を利用してQilinランサムウェアを展開したことが取り上げられている。管理およびネットワークインフラは、非常に異なる種類の攻撃者から注目を集め続けている。

管理者が今すぐ行うべきパッチ適用とエッジ機器の強化

Cisco SD-WANやその他のエッジインフラを管理している場合、優先すべきいくつかのステップがある:

  • Ciscoの修正を速やかに適用する。 SD-WANに関するベンダーのアドバイザリを確認し、展開環境で利用可能になり次第、修正済みリリースをインストールする。
  • 公開されている管理インターフェースを監査する。 コントローラーと管理プレーンはオープンインターネットから到達可能であるべきではない。信頼されたネットワークまたは専用の管理パスへのアクセスを制限する。
  • 認証情報と鍵をレビューしローテーションする。 マルウェアが鍵を標的にしているため、パッチ適用後、影響を受けるシステム上の証明書とシークレットを交換する必要があるか検討する。
  • 不審な活動についてログを確認する。 予期しないログイン、設定変更、未知のアドレスからの接続を探し、Cisco TalosとLumenが公開する指標と比較する。
  • セグメント化と監視。 侵害されたエッジデバイスが到達できる範囲を制限し、そのログを攻撃者が容易に改ざんできないシステムに送信する。

これがあなたにとって意味すること

小規模事業や管理されたネットワークを運営している場合、SD-WANやエッジ機器にあまり深く考えずに依存しているかもしれない。この報告は、これらのデバイスが設定して放置するものではないことを思い出させるものである。それらはサーバーと同じパッチ管理の規律に値し、多くの場合それ以上に必要である。なぜなら攻撃者はこれらの監視が薄いことを知っているからだ。

個人ユーザーである場合、この報告に基づいて取るべき単一のアクションはない。それでも、自宅や小規模オフィスでルーターやファイアウォールのファームウェアを最新に保つことがなぜ重要かを示している。あなたのデータを扱う組織は、そのトラフィックを運ぶデバイスと同じ程度にしか安全ではない。

主なポイント

Talosが報告したCisco SD-WANゼロデイとVolt Typhoonの関連は、国家に関連するアクターがエッジインフラを高価値の標的として扱っていることを浮き彫りにしている。Ciscoまたはその他のエッジシステムを管理している場合は、速やかにパッチを適用し、どの管理インターフェースが公開されているかを監査し、侵害の可能性がある場合は鍵をローテーションする。このパターンのより広範な概要については、SandwormとQilinに悪用されたCisco FMCの脆弱性と活発に悪用されているSecure Email Gatewayゼロデイに関する記事を参照されたい。そして今日、自身のエッジ機器を確認しよう。