Bảo mật mạng

Lỗ hổng zero-day Cisco SD-WAN liên quan đến "Silent Train" của Volt Typhoon

29 tháng 10, 20264 phút đọc

By Sarah Chen — Được chứng nhận CEH, có nền tảng về kiểm thử xâm nhập và an ninh mạng

Lỗ hổng zero-day Cisco SD-WAN liên quan đến "Silent Train" của Volt Typhoon

Cisco Talos đã liên kết phần mềm độc hại đánh cắp khóa từ các hệ thống Cisco SD-WAN với hạ tầng trùng lặp với mạng "Silent Train" của Volt Typhoon, một mạng mà Lumen đã từng mô tả chi tiết trước đó. Phát hiện này kết nối một nhánh hoạt động zero-day Cisco SD-WAN của Volt Typhoon với một mô hình rộng hơn: các tác nhân có liên hệ với nhà nước nhắm vào các router và thiết bị biên mang lưu lượng của một tổ chức.

Bản tóm tắt công khai của nghiên cứu khá ngắn gọn, vì vậy bài viết này chỉ giới hạn ở những gì đã được báo cáo và giải thích lý do tại sao điều đó quan trọng đối với những người vận hành hạ tầng mạng.

Talos đã phát hiện gì trong các cuộc tấn công SD-WAN

Theo báo cáo, Cisco Talos đã liên kết phần mềm độc hại đánh cắp khóa được sử dụng để tấn công Cisco SD-WAN với hạ tầng trùng lặp với mạng Silent Train. Phần mềm độc hại nhắm vào các khóa trên hệ thống SD-WAN, và hoạt động này liên quan đến khai thác zero-day, nghĩa là lỗ hổng đã bị sử dụng trước khi có bản vá.

Bản tóm tắt nguồn không cung cấp thêm chi tiết về các lỗ hổng cụ thể, các phiên bản bị ảnh hưởng hoặc số lượng nạn nhân, vì vậy chúng tôi sẽ không suy đoán về những điểm này. Quản trị viên nên kiểm tra các khuyến cáo của chính Cisco để có danh sách chính thức về các sản phẩm bị ảnh hưởng và các bản phát hành đã được vá.

Cách Silent Train liên kết hoạt động này với Volt Typhoon

Việc quy kết ở đây dựa trên sự trùng lặp hạ tầng, không phải là tuyên bố rằng một nhóm chắc chắn đứng sau mọi vụ xâm nhập. Talos phát hiện rằng các máy chủ và tài nguyên mạng liên quan đến phần mềm độc hại trùng lặp với Silent Train, mà Lumen đã mô tả trong nghiên cứu của riêng mình và liên kết với Volt Typhoon.

Sự trùng lặp hạ tầng là một tín hiệu hữu ích cho các nhà phòng thủ. Nó cho phép các nhóm bảo mật so sánh các chỉ báo giữa các cuộc điều tra, và gợi ý rằng cùng những kẻ vận hành, hoặc những kẻ vận hành chia sẻ tài nguyên, có thể có liên quan. Điều này không giống với việc quy kết đầy đủ, và độc giả nên xem xét với sự phân biệt đó trong đầu.

Tại sao thiết bị biên và khóa bị đánh cắp lại là mục tiêu có giá trị đến vậy

Các bộ điều khiển SD-WAN và router biên nằm ở điểm thắt cổ chai. Chúng kết nối các văn phòng chi nhánh, trung tâm dữ liệu và dịch vụ đám mây, và chúng thường nắm giữ vật liệu mật mã xác thực các thiết bị với nhau. Đánh cắp khóa từ một hệ thống như vậy có thể cho kẻ tấn công một cách để hòa mình vào lưu lượng hợp pháp hoặc tiếp cận các phần khác của mạng.

Thiết bị biên cũng khó giám sát hơn so với laptop hay máy chủ. Nhiều tổ chức không thể chạy các tác nhân bảo mật điểm cuối trên các thiết bị này, vì vậy các vụ xâm nhập có thể không bị phát hiện trong thời gian dài. Điều đó khiến chúng trở nên hấp dẫn đối với các tác nhân kiên nhẫn và có nhiều nguồn lực.

Đây không phải là một xu hướng riêng lẻ đối với các sản phẩm Cisco. Các bài đưa tin gần đây đã xem xét cách lỗ hổng zero-day Cisco FMC CVE-2026-20316 bị tấn công tích cực, và cách ba nhóm hacker sử dụng các lỗ hổng FMC để triển khai ransomware Qilin. Hạ tầng quản lý và mạng liên tục thu hút sự chú ý từ nhiều loại tác nhân tấn công rất khác nhau.

Quản trị viên nên làm gì ngay bây giờ để vá và củng cố thiết bị biên

Nếu bạn quản lý Cisco SD-WAN hoặc hạ tầng biên khác, một vài bước sau đáng được ưu tiên:

Áp dụng các bản vá của Cisco kịp thời. Kiểm tra các khuyến cáo của nhà cung cấp cho SD-WAN và cài đặt các bản phát hành đã được vá ngay khi chúng có sẵn cho triển khai của bạn.
Kiểm tra các giao diện quản lý bị lộ. Các bộ điều khiển và mặt phẳng quản lý không nên có thể truy cập được từ internet công cộng. Hạn chế truy cập vào các mạng tin cậy hoặc một đường dẫn quản lý chuyên dụng.
Xem xét lại và luân chuyển thông tin đăng nhập và khóa. Vì phần mềm độc hại nhắm vào các khóa, hãy xem xét liệu chứng chỉ và bí mật trên các hệ thống bị ảnh hưởng có cần được thay thế sau khi vá hay không.
Kiểm tra nhật ký để tìm hoạt động bất thường. Tìm các đăng nhập không mong đợi, thay đổi cấu hình hoặc kết nối từ các địa chỉ không quen thuộc, và so sánh với bất kỳ chỉ báo nào mà Cisco Talos và Lumen công bố.
Phân đoạn và giám sát. Giới hạn những gì một thiết bị biên bị xâm nhập có thể tiếp cận, và gửi nhật ký của nó đến một hệ thống mà kẻ tấn công không thể dễ dàng thay đổi.

Điều này có nghĩa gì với bạn

Nếu bạn điều hành một doanh nghiệp nhỏ hoặc một mạng được quản lý, bạn có thể dựa vào SD-WAN hoặc thiết bị biên mà không nghĩ nhiều về nó. Báo cáo này là một lời nhắc nhở rằng những thiết bị này không phải là loại cài đặt rồi quên. Chúng xứng đáng được áp dụng kỷ luật vá giống như máy chủ, và thường là nhiều hơn, bởi vì kẻ tấn công biết rằng chúng ít được giám sát.

Nếu bạn là người dùng cá nhân, không có hành động cụ thể nào để thực hiện dựa trên báo cáo này. Tuy nhiên, nó cho thấy tại sao việc giữ firmware router và tường lửa luôn cập nhật tại nhà hoặc trong một văn phòng nhỏ lại quan trọng. Các tổ chức xử lý dữ liệu của bạn chỉ an toàn bằng mức độ an toàn của các thiết bị mang lưu lượng của họ.

Những điểm chính cần ghi nhớ

Mối liên hệ zero-day Cisco SD-WAN với Volt Typhoon được Talos báo cáo làm nổi bật cách các tác nhân có liên hệ với nhà nước coi hạ tầng biên là mục tiêu có giá trị cao. Nếu bạn quản lý Cisco hoặc các hệ thống biên khác, hãy vá kịp thời, kiểm tra những giao diện quản lý nào bị lộ, và luân chuyển khóa ở những nơi có thể bị xâm nhập. Để có cái nhìn rộng hơn về mô hình này, hãy đọc bài đưa tin của chúng tôi về lỗ hổng Cisco FMC bị Sandworm và Qilin khai thác và lỗ hổng zero-day Secure Email Gateway đang bị khai thác tích cực. Sau đó kiểm tra thiết bị biên của chính bạn ngay hôm nay.

// FAQ

Cisco Talos đã phát hiện gì trong các cuộc tấn công SD-WAN?

Cisco Talos đã liên kết phần mềm độc hại đánh cắp khóa được sử dụng để tấn công Cisco SD-WAN với hạ tầng trùng lặp với mạng Silent Train. Phần mềm độc hại nhắm vào các khóa trên hệ thống SD-WAN, và hoạt động này liên quan đến khai thác zero-day, nghĩa là lỗ hổng đã bị sử dụng trước khi có bản vá.

Điều này có nghĩa là Volt Typhoon chắc chắn đứng sau mọi vụ xâm nhập không?

Không. Việc quy kết dựa trên sự trùng lặp hạ tầng, không phải là tuyên bố rằng một nhóm chắc chắn đứng sau mọi vụ xâm nhập. Talos phát hiện rằng các máy chủ và tài nguyên mạng liên quan đến phần mềm độc hại trùng lặp với Silent Train, mà Lumen đã liên kết với Volt Typhoon.

Tại sao thiết bị biên và khóa bị đánh cắp lại là những mục tiêu có giá trị đến vậy?

Các bộ điều khiển SD-WAN và router biên nằm ở điểm thắt cổ chai, kết nối các văn phòng chi nhánh, trung tâm dữ liệu và dịch vụ đám mây, và thường nắm giữ vật liệu mật mã xác thực các thiết bị với nhau. Đánh cắp khóa có thể cho kẻ tấn công một cách để hòa mình vào lưu lượng hợp pháp hoặc tiếp cận các phần khác của mạng.

Tại sao thiết bị biên khó giám sát hơn so với laptop hay máy chủ?

Nhiều tổ chức không thể chạy các tác nhân bảo mật điểm cuối trên các thiết bị này, vì vậy các vụ xâm nhập có thể không bị phát hiện trong thời gian dài. Điều đó khiến chúng trở nên hấp dẫn đối với các tác nhân kiên nhẫn và có nhiều nguồn lực.

Quản trị viên có thể tìm danh sách chính thức về các sản phẩm bị ảnh hưởng và các bản phát hành đã được vá ở đâu?

Quản trị viên nên kiểm tra các khuyến cáo của chính Cisco để có danh sách chính thức về các sản phẩm bị ảnh hưởng và các bản phát hành đã được vá. Bản tóm tắt nguồn không cung cấp chi tiết về các lỗ hổng cụ thể, các phiên bản bị ảnh hưởng hoặc số lượng nạn nhân.