Talos révèle que des pirates ont exploité une faille critique de Cisco SD-WAN pour installer le malware KeyDrift.

Des attaquants ont exploité une faille critique dans Cisco SD-WAN, plus précisément dans Cisco Catalyst SD-WAN. Ils ont ainsi installé un logiciel malveillant sur mesure au cœur de l’infrastructure. Pourtant, cette faille avait été corrigée en février. Le 28 octobre, Cisco Talos a détaillé cette campagne. Il a également présenté le malware baptisé KeyDrift.

Cisco SD-WAN : ce que révèle l’alerte de Talos

Les faits rapportés par Talos sont précis, mais restent limités. Une vulnérabilité critique de Cisco Catalyst SD-WAN a servi de porte d’entrée. Ensuite, les pirates ont déposé un code malveillant dans les systèmes qui contrôlent le réseau SD-WAN d’une organisation.

Ces systèmes jouent un rôle central. En effet, ils pilotent la communication entre les différents sites d’une entreprise. Par conséquent, leur compromission offre une position stratégique à l’attaquant.

Talos qualifie ces attaques d’historiques. Autrement dit, elles appartiennent au passé. Toutefois, l’éditeur de sécurité ne précise pas la période exacte des intrusions. Les organisations ne peuvent donc pas se fier à une simple date pour écarter le risque.

Un point mérite d’être souligné. Le correctif existe depuis février. Les victimes ont donc été touchées avant son application, ou elles ne l’ont pas installé à temps. Ainsi, cela rappelle l’importance de la rapidité des mises à jour sur les équipements réseau.

KeyDrift, un malware conçu pour copier les clés

KeyDrift est un malware développé spécifiquement pour cette campagne. Son objectif est clair. Il copie les clés qui chiffrent le trafic entre les sites. Ensuite, il les stocke en vue d’un usage ultérieur.

Cette logique est discrète. En effet, le malware ne cherche pas forcément à perturber le réseau. Il collecte des secrets et les met de côté. Les pirates peuvent ensuite agir au moment qui leur convient.

Le choix de ce mode opératoire en dit long sur les ambitions des attaquants. Par ailleurs, un code sur mesure demande du temps et des compétences. Il vise une cible précise et un gain à long terme. Il s’agit donc d’une opération plus réfléchie qu’une exploitation opportuniste.

À ce stade, les informations disponibles ne permettent pas d’aller plus loin. Aucun groupe malveillant n’est nommé dans les éléments communiqués. De plus, aucun détail sur le nombre de victimes n’est précisé. Il faut donc rester prudent sur l’ampleur réelle de la campagne.

Pourquoi les clés volées menacent un réseau Cisco SD-WAN

Une solution SD-WAN relie des agences, des centres de données et parfois des services cloud. Le chiffrement protège les échanges qui transitent entre ces sites. Les clés constituent donc le socle de cette confidentialité.

Si ces clés sont copiées, la protection devient fragile. Un attaquant qui les détient peut, selon le contexte, tenter de lire des flux interceptés. Il peut également chercher à se faire passer pour un élément légitime du réseau. Toutefois, ces scénarios restent des risques généraux. Talos ne les a pas confirmés dans cette affaire.

Le stockage « pour plus tard » aggrave la situation. En effet, une clé volée peut rester exploitable longtemps si elle n’est pas renouvelée. Ainsi, même après la correction de la faille, le danger peut persister. Appliquer le correctif ne suffit pas à effacer une compromission déjà réalisée.

Par ailleurs, ce type d’attaque touche un point souvent peu surveillé. Les équipes de sécurité observent surtout les postes de travail et les serveurs. En revanche, les contrôleurs réseau reçoivent moins d’attention. Les attaquants le savent et en profitent.

Recommandations pour les équipes réseau

Les administrateurs de Cisco Catalyst SD-WAN doivent agir sans attendre. Voici les mesures prioritaires à envisager :

• Vérifier le correctif : confirmer que la mise à jour publiée en février est bien installée sur tous les composants concernés.
• Rechercher une compromission passée : Talos parle d’attaques historiques. Un système aujourd’hui à jour peut donc avoir été touché auparavant.
• Renouveler les clés : en cas de doute, faire tourner les clés de chiffrement pour invalider d’éventuelles copies.
• Consulter les indicateurs de Talos : comparer les journaux et les fichiers du système avec les éléments techniques publiés sur KeyDrift.
• Limiter l’exposition : restreindre l’accès aux interfaces de gestion et surveiller les connexions inhabituelles.

Ce qu’il faut retenir

• Une faille critique de Cisco Catalyst SD-WAN, corrigée en février, a été exploitée par des attaquants.
• Le malware KeyDrift copie les clés de chiffrement du trafic inter-sites et les conserve pour plus tard.
• Talos a publié son analyse le 28 octobre et parle d’attaques historiques, sans préciser leur date.
• Corriger la faille ne suffit pas. Il faut donc aussi vérifier une éventuelle compromission antérieure et renouveler les clés si nécessaire.

Cette affaire illustre une tendance de fond. Les attaquants visent désormais les briques d’infrastructure qui orchestrent la sécurité. En effet, ils y volent des secrets plutôt que des données brutes. Les entreprises doivent donc traiter leurs contrôleurs SD-WAN comme des actifs critiques. Ces équipements méritent la même attention que leurs serveurs les plus sensibles.

Source : Hackers Exploited Cisco SD-WAN Flaw to Plant Malware Built to Steal Encryption Keys