Cisco Talos, Cisco SD-WAN sistemlerinden anahtar çalan kötü amaçlı yazılımı, Lumen'in daha önce ayrıntılandırdığı Volt Typhoon'un "Silent Train" ağıyla örtüşen altyapıya bağladı. Bu bulgu, bir Cisco SD-WAN zero-day Volt Typhoon faaliyet zincirini daha geniş bir örüntüye bağlıyor: bir kuruluşun trafiğini taşıyan yönlendiricileri ve uç cihazları hedef alan devlet bağlantılı aktörler.

Araştırmanın kamuya açık özeti kısa olduğundan, bu yazı rapor edilenlerle sınırlı kalıyor ve ağ altyapısı işleten kişiler için neden önemli olduğunu açıklıyor.

Talos'un SD-WAN saldırılarında buldukları

Rapora göre Cisco Talos, Cisco SD-WAN'e karşı kullanılan anahtar çalan kötü amaçlı yazılımı Silent Train ağıyla örtüşen altyapıya bağladı. Kötü amaçlı yazılım SD-WAN sistemlerindeki anahtarları hedef alıyor ve faaliyet zero-day sömürüsü içeriyordu; yani açık, bir düzeltme mevcut olmadan önce kullanıldı.

Kaynak özet, belirli güvenlik açıkları, etkilenen sürümler veya kurban sayısı hakkında daha fazla ayrıntı sunmuyor, bu nedenle bu noktalarda spekülasyon yapmayacağız. Yöneticiler, etkilenen ürünlerin ve düzeltilmiş sürümlerin yetkili listesi için Cisco'nun kendi danışma belgelerini kontrol etmelidir.

Silent Train faaliyeti Volt Typhoon'a nasıl bağlıyor

Buradaki atıf, altyapı örtüşmesiyle ilgilidir; bir grubun her ihlalin kesinlikle arkasında olduğu yönünde bir beyan değildir. Talos, kötü amaçlı yazılımla ilişkili sunucuların ve ağ kaynaklarının, Lumen'in kendi araştırmasında tanımladığı ve Volt Typhoon'a bağladığı Silent Train ile örtüştüğünü buldu.

Altyapıdaki örtüşme, savunucular için yararlı bir sinyaldir. Güvenlik ekiplerinin göstergeleri soruşturmalar arasında karşılaştırmasına olanak tanır ve aynı operatörlerin veya kaynakları paylaşan operatörlerin işin içinde olabileceğine işaret eder. Bu, tam bir atıfla aynı şey değildir ve okuyucular bunu bu ayrımı akılda tutarak değerlendirmelidir.

Uç cihazlar ve çalınan anahtarlar neden bu kadar değerli hedefler

SD-WAN denetleyicileri ve uç yönlendiriciler bir darboğaz noktasında yer alır. Şube ofislerini, veri merkezlerini ve bulut hizmetlerini birbirine bağlarlar ve genellikle cihazların birbirini kimlik doğrulamasını sağlayan kriptografik materyali barındırırlar. Böyle bir sistemden anahtar çalmak, bir saldırgana meşru trafiğe karışma veya ağın diğer bölümlerine ulaşma imkânı verebilir.

Uç donanımını izlemek de dizüstü bilgisayarlara veya sunuculara göre daha zordur. Birçok kuruluş bu cihazlarda uç nokta güvenlik ajanları çalıştıramaz, bu nedenle ihlaller uzun süre fark edilmeden kalabilir. Bu da onları sabırlı ve kaynakları güçlü aktörler için cazip kılar.

Bu, Cisco ürünleri için izole bir eğilim değildir. Son haberlerde Cisco FMC zero-day CVE-2026-20316'nın aktif saldırı altına nasıl girdiği ve üç hacker grubunun Qilin fidye yazılımını dağıtmak için FMC açıklarını nasıl kullandığı ele alındı. Yönetim ve ağ altyapısı, çok farklı türdeki saldırganların dikkatini çekmeye devam ediyor.

Yöneticiler şimdi yama uygulamak ve uç donanımını güçlendirmek için ne yapmalı

Cisco SD-WAN veya diğer uç altyapısını yönetiyorsanız, birkaç adım önceliklendirmeye değer:

  • Cisco'nun düzeltmelerini derhal uygulayın. SD-WAN için satıcının danışma belgelerini kontrol edin ve dağıtımınız için kullanılabilir olduğunda yamalı sürümleri hemen yükleyin.
  • Açıkta olan yönetim arayüzlerini denetleyin. Denetleyiciler ve yönetim düzlemleri açık internetten erişilebilir olmamalıdır. Erişimi güvenilir ağlarla veya özel bir yönetim yoluna kısıtlayın.
  • Kimlik bilgilerini ve anahtarları gözden geçirin ve döndürün. Kötü amaçlı yazılım anahtarları hedef aldığından, yama uygulandıktan sonra etkilenen sistemlerdeki sertifikaların ve sırların değiştirilmesi gerekip gerekmediğini değerlendirin.
  • Günlükleri olağandışı etkinlik için kontrol edin. Beklenmeyen oturum açmaları, yapılandırma değişikliklerini veya tanıdık olmayan adreslerden gelen bağlantıları arayın ve Cisco Talos ile Lumen'in yayımladığı göstergelerle karşılaştırın.
  • Segmentlere ayırın ve izleyin. Ele geçirilmiş bir uç cihazın erişebileceği alanı sınırlayın ve günlüklerini saldırganların kolayca değiştiremeyeceği bir sisteme gönderin.

Bu Sizin İçin Ne Anlama Geliyor

Küçük bir işletme veya yönetilen bir ağ işletiyorsanız, SD-WAN veya uç donanımına fazla düşünmeden güveniyor olabilirsiniz. Bu rapor, bu cihazların kur-ve-unut cihazlar olmadığının bir hatırlatıcısıdır. Sunucularla aynı yama disiplinini hak ediyorlar, hatta çoğu zaman daha fazlasını, çünkü saldırganlar bu cihazların hafifçe izlendiğini biliyor.

Bireysel bir kullanıcıysanız, bu rapora dayanarak atılacak tek bir eylem yoktur. Yine de bu, evde veya küçük bir ofiste yönlendirici ve güvenlik duvarı ürün yazılımını güncel tutmanın neden önemli olduğunu gösteriyor. Verilerinizi işleyen kuruluşlar, yalnızca trafiklerini taşıyan cihazlar kadar güvenlidir.

Önemli çıkarımlar

Talos'un raporladığı Cisco SD-WAN zero-day Volt Typhoon bağlantısı, devlet bağlantılı aktörlerin uç altyapısını nasıl yüksek değerli bir hedef olarak gördüğünü vurguluyor. Cisco veya diğer uç sistemleri yönetiyorsanız, derhal yama uygulayın, hangi yönetim arayüzlerinin açıkta olduğunu denetleyin ve ihlal olasılığı olan yerlerde anahtarları döndürün. Örüntüye daha geniş bir bakış için Sandworm ve Qilin tarafından sömürülen Cisco FMC açığı ve aktif olarak sömürülen Secure Email Gateway zero-day haberlerimizi okuyun. Ardından bugün kendi uç donanımınızı kontrol edin.