Cisco Talos пов'язала шкідливе ПЗ, яке викрадає ключі з систем Cisco SD-WAN, з інфраструктурою, що перетинається з мережею «Тихий потяг» Volt Typhoon, яку раніше детально описала Lumen. Це відкриття пов'язує нитку активності Volt Typhoon навколо zero-day у Cisco SD-WAN із ширшою закономірністю: пов'язані з державами суб'єкти полюють на маршрутизатори та периферійні пристрої, які передають трафік організації.

Публічне резюме дослідження стисле, тож цей пост обмежується тим, що було оприлюднено, і пояснює, чому це важливо для тих, хто керує мережевою інфраструктурою.

Що знайшла Talos в атаках на SD-WAN

Згідно зі звітом, Cisco Talos пов'язала шкідливе ПЗ для викрадення ключів, яке використовувалося проти Cisco SD-WAN, з інфраструктурою, що перетинається з мережею «Тихий потяг». Шкідливе ПЗ націлене на ключі в системах SD-WAN, а активність включала експлуатацію zero-day, тобто вразливість використовувалася до появи виправлення.

Джерело-резюме не надає більше деталей щодо конкретних вразливостей, уражених версій або кількості постраждалих, тож ми не будемо робити припущень із цих питань. Адміністраторам слід звертатися до власних рекомендацій Cisco щодо авторитетного переліку уражених продуктів і випусків із виправленнями.

Як «Тихий потяг» пов'язує активність із Volt Typhoon

Атрибуція тут стосується перетину інфраструктури, а не заяви про те, що одна група точно стоїть за кожним вторгненням. Talos виявила, що сервери та мережеві ресурси, пов'язані зі шкідливим ПЗ, перетинаються з «Тихим потягом», який Lumen описала у власному дослідженні та пов'язала з Volt Typhoon.

Перетин інфраструктури є корисним сигналом для захисників. Він дозволяє командам безпеки порівнювати індикатори між розслідуваннями та свідчить про те, що можуть бути задіяні ті самі оператори або оператори, які спільно використовують ресурси. Це не те саме, що повна атрибуція, і читачам слід пам'ятати про цю різницю.

Чому периферійні пристрої та викрадені ключі є такими цінними цілями

Контролери SD-WAN та периферійні маршрутизатори розташовані у вузькому місці. Вони з'єднують філії, центри обробки даних і хмарні сервіси, і часто зберігають криптографічний матеріал, який автентифікує пристрої один для одного. Викрадення ключів із такої системи може дати зловмиснику спосіб змішатися з легітимним трафіком або дістатися до інших частин мережі.

Периферійне обладнання також важче моніторити, ніж ноутбуки чи сервери. Багато організацій не можуть запускати агенти захисту кінцевих точок на цих пристроях, тож компрометації можуть залишатися непоміченими протягом тривалого часу. Це робить їх привабливими для терплячих, добре забезпечених ресурсами суб'єктів.

Це не ізольована тенденція для продуктів Cisco. Нещодавні матеріали розглядали, як zero-day Cisco FMC CVE-2026-20316 зазнав активної атаки, і як три хакерські групи використали вразливості FMC для розгортання програм-вимагачів Qilin. Інфраструктура управління та мережі продовжує привертати увагу дуже різних типів зловмисників.

Що адміністраторам слід зробити зараз для виправлення та зміцнення периферійного обладнання

Якщо ви керуєте Cisco SD-WAN або іншою периферійною інфраструктурою, варто надати пріоритет кільком крокам:

  • Своєчасно застосовуйте виправлення Cisco. Перевіряйте рекомендації постачальника щодо SD-WAN і встановлюйте виправлені випуски, щойно вони стануть доступними для вашого розгортання.
  • Проведіть аудит відкритих інтерфейсів управління. Контролери та площини управління не повинні бути доступними з відкритого інтернету. Обмежте доступ довіреними мережами або виділеним шляхом управління.
  • Перегляньте та змініть облікові дані й ключі. Оскільки шкідливе ПЗ націлене на ключі, розгляньте, чи потрібно замінити сертифікати та секрети на уражених системах після виправлення.
  • Перевіряйте журнали на незвичайну активність. Шукайте неочікувані входи, зміни конфігурації або з'єднання з незнайомих адрес і порівнюйте з будь-якими індикаторами, які публікують Cisco Talos і Lumen.
  • Сегментуйте та моніторте. Обмежте, до чого може дістатися скомпрометований периферійний пристрій, і надсилайте його журнали до системи, яку зловмисники не можуть легко змінити.

Що це означає для вас

Якщо ви керуєте малим бізнесом або керованою мережею, ви можете покладатися на SD-WAN чи периферійне обладнання, не замислюючись про це. Цей звіт нагадує, що ці пристрої не є «налаштував і забув». Вони заслуговують на таку саму дисципліну виправлень, як сервери, а часто й більшу, бо зловмисники знають, що за ними слабко стежать.

Якщо ви звичайний користувач, немає якоїсь однієї дії, яку слід вжити на основі цього звіту. Втім, він показує, чому важливо тримати прошивку маршрутизатора та брандмауера актуальною вдома чи в малому офісі. Організації, які обробляють ваші дані, захищені рівно настільки, наскільки захищені пристрої, що передають їхній трафік.

Ключові висновки

Зв'язок zero-day Cisco SD-WAN із Volt Typhoon, про який повідомила Talos, підкреслює, як пов'язані з державами суб'єкти ставляться до периферійної інфраструктури як до високоцінної цілі. Якщо ви керуєте системами Cisco або іншими периферійними системами, виправляйте своєчасно, перевіряйте, які інтерфейси управління відкриті, і змінюйте ключі там, де можлива компрометація. Для ширшого огляду закономірності читайте наші матеріали про вразливість Cisco FMC, яку використали Sandworm і Qilin та активно експлуатований zero-day у Secure Email Gateway. А потім перевірте своє периферійне обладнання вже сьогодні.