Cisco Talos связала вредоносное ПО, похищающее ключи из систем Cisco SD-WAN, с инфраструктурой, пересекающейся с сетью «Тихий поезд» Volt Typhoon, которую ранее подробно описала Lumen. Эта находка связывает ноль-дневную уязвимость Cisco SD-WAN и активность Volt Typhoon с более широкой картиной: связанные с государством субъекты атакуют маршрутизаторы и пограничные устройства, через которые проходит трафик организации.

Публичное резюме исследования краткое, поэтому этот пост придерживается того, что было сообщено, и объясняет, почему это важно для тех, кто управляет сетевой инфраструктурой.

Что Talos обнаружила в атаках на SD-WAN

Согласно отчёту, Cisco Talos связала вредоносное ПО для кражи ключей, использовавшееся против Cisco SD-WAN, с инфраструктурой, пересекающейся с сетью «Тихий поезд». Вредоносное ПО нацелено на ключи в системах SD-WAN, а активность включала эксплуатацию ноль-дневной уязвимости, то есть уязвимость использовалась до того, как стало доступно исправление.

В исходном резюме нет более подробной информации о конкретных уязвимостях, затронутых версиях или количестве жертв, поэтому мы не будем строить предположения по этим пунктам. Администраторам следует проверить собственные рекомендации Cisco для получения авторитетного списка затронутых продуктов и исправленных выпусков.

Как «Тихий поезд» связывает активность с Volt Typhoon

Атрибуция здесь основана на пересечении инфраструктуры, а не на заявлении о том, что одна группа определённо стоит за каждым вторжением. Talos обнаружила, что серверы и сетевые ресурсы, связанные с вредоносным ПО, пересекаются с «Тихим поездом», который Lumen описала в собственном исследовании и связала с Volt Typhoon.

Пересечение инфраструктуры — полезный сигнал для защитников. Оно позволяет командам безопасности сравнивать индикаторы между расследованиями и предполагает, что могут быть задействованы одни и те же операторы или операторы, совместно использующие ресурсы. Это не то же самое, что полная атрибуция, и читателям следует учитывать это различие.

Почему пограничные устройства и украденные ключи — столь ценные цели

Контроллеры SD-WAN и пограничные маршрутизаторы находятся в узком месте. Они соединяют филиалы, центры обработки данных и облачные сервисы и часто хранят криптографический материал, который аутентифицирует устройства друг перед другом. Кража ключей из такой системы может дать атакующему способ слиться с легитимным трафиком или достичь других частей сети.

Пограничное оборудование также сложнее отслеживать, чем ноутбуки или серверы. Многие организации не могут запускать агенты конечной защиты на этих устройствах, поэтому компрометации могут оставаться незамеченными в течение длительного времени. Это делает их привлекательными для терпеливых, хорошо обеспеченных ресурсами субъектов.

Это не изолированная тенденция для продуктов Cisco. В недавних материалах рассматривалось, как ноль-дневная уязвимость Cisco FMC CVE-2026-20316 подверглась активной атаке и как три хакерские группы использовали уязвимости FMC для развёртывания программы-вымогателя Qilin. Управление и сетевая инфраструктура продолжают привлекать внимание самых разных типов атакующих.

Что администраторам следует сделать сейчас для установки исправлений и укрепления пограничного оборудования

Если вы управляете Cisco SD-WAN или другой пограничной инфраструктурой, стоит в первую очередь предпринять несколько шагов:

  • Своевременно применяйте исправления Cisco. Проверьте рекомендации производителя по SD-WAN и установите исправленные выпуски, как только они станут доступны для вашего развёртывания.
  • Проверьте доступные управляющие интерфейсы. Контроллеры и плоскости управления не должны быть доступны из открытого интернета. Ограничьте доступ доверенными сетями или выделенным путём управления.
  • Проверьте и смените учётные данные и ключи. Поскольку вредоносное ПО нацелено на ключи, рассмотрите, нужно ли заменять сертификаты и секреты на затронутых системах после установки исправлений.
  • Проверяйте журналы на предмет необычной активности. Ищите неожиданные входы в систему, изменения конфигурации или подключения с незнакомых адресов и сравнивайте с любыми индикаторами, публикуемыми Cisco Talos и Lumen.
  • Сегментируйте и отслеживайте. Ограничьте, к чему может получить доступ скомпрометированное пограничное устройство, и отправляйте его журналы в систему, которую атакующие не смогут легко изменить.

Что это значит для вас

Если вы управляете малым бизнесом или управляемой сетью, вы можете полагаться на SD-WAN или пограничное оборудование, не задумываясь об этом особо. Этот отчёт напоминает, что эти устройства не настроены раз и навсегда. Они заслуживают той же дисциплины установки исправлений, что и серверы, а часто и большей, потому что атакующие знают, что за ними слабо наблюдают.

Если вы обычный пользователь, на основании этого отчёта нет какого-то одного действия, которое нужно предпринять. Тем не менее он показывает, почему важно поддерживать актуальность прошивки маршрутизатора и межсетевого экрана дома или в небольшом офисе. Организации, которые обрабатывают ваши данные, защищены лишь настолько, насколько защищены устройства, через которые проходит их трафик.

Ключевые выводы

Связь ноль-дневной уязвимости Cisco SD-WAN с Volt Typhoon, о которой сообщила Talos, подчёркивает, как связанные с государством субъекты рассматривают пограничную инфраструктуру как высокоценную цель. Если вы управляете системами Cisco или другими пограничными системами, своевременно устанавливайте исправления, проверяйте, какие управляющие интерфейсы доступны, и меняйте ключи там, где возможна компрометация. Для более широкого взгляда на картину прочитайте наши материалы об уязвимости Cisco FMC, эксплуатируемой Sandworm и Qilin и об активно эксплуатируемой ноль-дневной уязвимости Secure Email Gateway. Затем проверьте своё собственное пограничное оборудование уже сегодня.