Cisco Talos ได้เชื่อมโยงมัลแวร์ที่ขโมยกุญแจจากระบบ Cisco SD-WAN เข้ากับโครงสร้างพื้นฐานที่ทับซ้อนกับเครือข่าย "Silent Train" ของ Volt Typhoon ซึ่งเป็นเครือข่ายที่ Lumen เคยเปิดเผยรายละเอียดมาก่อนหน้านี้ การค้นพบนี้เชื่อมโยงเธรดกิจกรรมของ Volt Typhoon ที่เกี่ยวข้องกับซีโร่เดย์ของ Cisco SD-WAN เข้ากับรูปแบบที่กว้างขึ้น นั่นคือกลุ่มผู้โจมตีที่เชื่อมโยงกับรัฐซึ่งมุ่งเป้าไปที่เราเตอร์และอุปกรณ์ปลายขอบที่รับส่งข้อมูลขององค์กร

บทสรุปสาธารณะของงานวิจัยนี้ค่อนข้างกระชับ ดังนั้นโพสต์นี้จึงยึดตามสิ่งที่ได้รับการรายงานและอธิบายว่าทำไมเรื่องนี้จึงสำคัญสำหรับผู้ที่ดูแลโครงสร้างพื้นฐานเครือข่าย

สิ่งที่ Talos ค้นพบในการโจมตี SD-WAN

ตามรายงานระบุว่า Cisco Talos เชื่อมโยงมัลแวร์ขโมยกุญแจที่ใช้โจมตี Cisco SD-WAN เข้ากับโครงสร้างพื้นฐานที่ทับซ้อนกับเครือข่าย Silent Train มัลแวร์นี้มุ่งเป้าไปที่กุญแจบนระบบ SD-WAN และกิจกรรมดังกล่าวเกี่ยวข้องกับการใช้ช่องโหว่ซีโร่เดย์ หมายความว่าช่องโหว่ถูกใช้ก่อนที่จะมีแพตช์แก้ไข

บทสรุปจากแหล่งข่าวไม่ได้ให้รายละเอียดเพิ่มเติมเกี่ยวกับช่องโหว่เฉพาะ เวอร์ชันที่ได้รับผลกระทบ หรือจำนวนเหยื่อ ดังนั้นเราจะไม่คาดเดาในประเด็นเหล่านี้ ผู้ดูแลระบบควรตรวจสอบประกาศ advisory ของ Cisco เองสำหรับรายการผลิตภัณฑ์ที่ได้รับผลกระทบและเวอร์ชันที่แก้ไขแล้วอย่างเป็นทางการ

Silent Train เชื่อมโยงกิจกรรมกับ Volt Typhoon อย่างไร

การระบุตัวตนในที่นี้是关于การทับซ้อนของโครงสร้างพื้นฐาน ไม่ใช่การประกาศว่ากลุ่มใดกลุ่มหนึ่งอยู่เบื้องหลังการบุกรุกทุกครั้งอย่างแน่นอน Talos พบว่าเซิร์ฟเวอร์และทรัพยากรเครือข่ายที่เกี่ยวข้องกับมัลแวร์ทับซ้อนกับ Silent Train ซึ่ง Lumen อธิบายไว้ในงานวิจัยของตนเองและเชื่อมโยงกับ Volt Typhoon

การทับซ้อนของโครงสร้างพื้นฐานเป็นสัญญาณที่เป็นประโยชน์สำหรับผู้ป้องกัน ช่วยให้ทีมรักษาความปลอดภัยเปรียบเทียบตัวชี้วัดระหว่างการสอบสวน และบ่งชี้ว่าอาจเป็นผู้ปฏิบัติการกลุ่มเดียวกัน หรือกลุ่มที่แชร์ทรัพยากรร่วมกัน อาจเกี่ยวข้องกัน สิ่งนี้ไม่เหมือนกับการระบุตัวตนเต็มรูปแบบ และผู้อ่านควรคำนึงถึงความแตกต่างนี้

ทำไมอุปกรณ์ปลายขอบและกุญแจที่ถูกขโมยจึงเป็นเป้าหมายที่มีค่าสูง

คอนโทรลเลอร์ SD-WAN และเราเตอร์ปลายขอบตั้งอยู่ที่จุดคอขวด พวกมันเชื่อมต่อสำนักงานสาขา ศูนย์ข้อมูล และบริการคลาวด์ และมักเก็บวัสดุทางการเข้ารหัสที่ใช้ยืนยันตัวตนอุปกรณ์ซึ่งกันและกัน การขโมยกุญแจจากระบบดังกล่าวสามารถให้ผู้โจมตีมีวิธีกลมกลืนกับทราฟฟิกที่ถูกต้องตามกฎหมายหรือเข้าถึงส่วนอื่นๆ ของเครือข่าย

อุปกรณ์ปลายขอบยังตรวจสอบได้ยากกว่าคอมพิวเตอร์แล็ปท็อปหรือเซิร์ฟเวอร์ หลายองค์กรไม่สามารถติดตั้งเอเจนต์ความปลอดภัยปลายทางบนอุปกรณ์เหล่านี้ได้ ดังนั้นการถูกบุกรุกจึงอาจไม่ถูกตรวจพบเป็นเวลานาน ซึ่งทำให้อุปกรณ์เหล่านี้เป็นที่น่าสนใจสำหรับผู้โจมตีที่มีความอดทนและมีทรัพยากรพร้อม

นี่ไม่ใช่แนวโน้มที่แยกตัวสำหรับผลิตภัณฑ์ Cisco การรายงานข่าวล่าสุดได้ examine ว่า ซีโร่เดย์ Cisco FMC CVE-2026-20316 ตกอยู่ภายใต้การโจมตีที่-active และ กลุ่มแฮกเกอร์สามกลุ่มใช้ช่องโหว่ FMC เพื่อติดตั้งแรนซัมแวร์ Qilin อย่างไร โครงสร้างพื้นฐานด้านการจัดการและเครือข่ายยังคงดึงดูดความสนใจจากผู้โจมตีประเภทต่างๆ อยู่เสมอ

ผู้ดูแลระบบควรทำอะไรตอนนี้เพื่อแพตช์และเสริมความแข็งแกร่งอุปกรณ์ปลายขอบ

หากคุณดูแล Cisco SD-WAN หรือโครงสร้างพื้นฐานปลายขอบอื่นๆ มีขั้นตอนบางอย่างที่ควรให้ความสำคัญ:

  • ติดตั้งแพตช์ของ Cisco โดยเร็ว ตรวจสอบประกาศ advisory ของผู้จำหน่ายสำหรับ SD-WAN และติดตั้งเวอร์ชันที่แพตช์แล้วทันทีที่พร้อมใช้งานสำหรับการติดตั้งของคุณ
  • ตรวจสอบอินเทอร์เฟซการจัดการที่เปิดเผย คอนโทรลเลอร์และระบบจัดการไม่ควรเข้าถึงได้จากอินเทอร์เน็ตสาธารณะ จำกัดการเข้าถึงเฉพาะเครือข่ายที่เชื่อถือได้หรือเส้นทางการจัดการโดยเฉพาะ
  • ตรวจสอบและหมุนเวียนข้อมูลรับรองและกุญแจ เนื่องจากมัลแวร์มุ่งเป้าไปที่กุญแจ ควรพิจารณาว่าใบรับรองและข้อมูลลับบนระบบที่ได้รับผลกระทบจำเป็นต้องเปลี่ยนหลังการแพตช์หรือไม่
  • ตรวจสอบบันทึกสำหรับกิจกรรมที่ผิดปกติ มองหาการเข้าสู่ระบบที่ไม่คาดคิด การเปลี่ยนแปลงการกำหนดค่า หรือการเชื่อมต่อจากที่อยู่ที่ไม่คุ้นเคย และเปรียบเทียบกับตัวชี้วัดที่ Cisco Talos และ Lumen เผยแพร่
  • แบ่งส่วนและตรวจสอบ จำกัดสิ่งที่อุปกรณ์ปลายขอบที่ถูกบุกรุกสามารถเข้าถึงได้ และส่งบันทึกไปยังระบบที่ผู้โจมตีไม่สามารถแก้ไขได้ง่าย

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณดำเนินธุรกิจขนาดเล็กหรือเครือข่ายที่มีการจัดการ คุณอาจพึ่งพา SD-WAN หรืออุปกรณ์ปลายขอบโดยไม่คิดมากนัก รายงานนี้เป็นเครื่องเตือนใจว่าอุปกรณ์เหล่านี้ไม่ได้ตั้งค่าแล้วลืมได้ พวกมันสมควรได้รับวินัยในการแพตช์เช่นเดียวกับเซิร์ฟเวอร์ และบ่อยครั้งมากกว่า เพราะผู้โจมตีรู้ว่าอุปกรณ์เหล่านี้ได้รับการตรวจสอบน้อย

หากคุณเป็นผู้ใช้individual ไม่มีการดำเนินการใดๆ โดยเฉพาะจากรายงานนี้ อย่างไรก็ตาม มันแสดงให้เห็นว่าทำไมการอัปเดตเฟิร์มแวร์เราเตอร์และไฟร์วอลล์ที่บ้านหรือในสำนักงานขนาดเล็กจึงสำคัญ องค์กรที่จัดการข้อมูลของคุณจะปลอดภัยเพียงเท่ากับอุปกรณ์ที่รับส่งข้อมูลของพวกมัน

ประเด็นสำคัญ

การเชื่อมโยงซีโร่เดย์ Cisco SD-WAN กับ Volt Typhoon ที่ Talos รายงานเน้นให้เห็นว่าผู้โจมตีที่เชื่อมโยงกับรัฐมองโครงสร้างพื้นฐานปลายขอบเป็นเป้าหมายที่มีค่าสูงอย่างไร หากคุณดูแลระบบ Cisco หรือระบบปลายขอบอื่นๆ ให้แพตช์โดยเร็ว ตรวจสอบว่าอินเทอร์เฟซการจัดการใดบ้างที่เปิดเผย และหมุนเวียนกุญแจในจุดที่อาจถูกบุกรุกได้ สำหรับมุมมองที่กว้างขึ้นของรูปแบบนี้ โปรดอ่านการรายงานของเราเกี่ยวกับ ช่องโหว่ Cisco FMC ที่ถูกใช้โดย Sandworm และ Qilin และ ซีโร่เดย์ Secure Email Gateway ที่ถูกใช้ประโยชน์อย่าง-active จากนั้นตรวจสอบอุปกรณ์ปลายขอบของคุณเองวันนี้