Lỗ hổng zero-day Cisco SD-WAN bị khai thác, dính líu đến mạng 'Silent Train' của Volt Typhoon

Mã độc khai thác lỗ hổng trên thiết bị chuyển mạch Cisco

Cisco Talos vừa công bố một nhóm tấn công có hạ tầng trùng lặp đáng kể với mạng ẩn "Silent Train" của Volt Typhoon đã khai thác một lỗ hổng nghiêm trọng trong Cisco SD-WAN để triển khai mã độc đánh cắp khóa mã hóa. Cùng ngày, Lumen's Black Lotus Labs cũng phát hành nghiên cứu về chính mạng Silent Train mà nhóm tin tặc có liên hệ với Trung Quốc này sử dụng để nhắm vào các tổ chức tại Mỹ.

Lỗ hổng CVE-2026-20127: điểm CVSS tuyệt đối 10/10

Lỗ hổng mang mã CVE-2026-20127 có điểm CVSS lên tới 10 và được công bố vào tháng 2/2026. Điểm đáng lo ngại là kẻ tấn công không cần thông tin đăng nhập vẫn có thể khai thác từ xa để vượt qua cơ chế xác thực peering của các thành phần điều khiển SD-WAN và giành quyền quản trị.

Theo cảnh báo của Cisco, quyền truy cập này có thể bị lợi dụng để thay đổi cấu hình toàn bộ mạng SD-WAN. Với các doanh nghiệp Việt Nam đang triển khai hạ tầng SD-WAN cho chi nhánh hoặc kết nối đa đám mây, đây là lỗ hổng cần được ưu tiên vá khẩn cấp.

Mã độc KeyDrift: cấy vào tiến trình hợp lệ để đánh cắp khóa

Talos quy kết các cuộc tấn công cho UAT-11473, một nhóm APT được đánh giá là có độ tinh vi cao, nhắm vào lĩnh vực không gian – vệ tinh, công nghệ quốc phòng – hàng không và nghiên cứu chính sách. Talos gọi đây là hoạt động mang tính lịch sử nhưng không nêu rõ thời điểm xảy ra.

Khung mã độc có tên KeyDrift được thiết kế nhằm:

• Duy trì quyền truy cập lâu dài vào các bộ điều khiển SD-WAN
• Tự động rút trích vật liệu khóa (keying material) một cách âm thầm
• Được tiêm vào các tiến trình control-plane hợp lệ, nhờ đó tiếp cận lưu lượng điều khiển sau khi đã được giải mã

Mô-đun chính của nó là PolyFlame đóng vai trò backdoor, đồng thời có thể chuyển tiếp lệnh tới các máy chủ khác với tư cách một nút trung gian C2. Mô-đun thứ hai, LittleFilch, thu thập vật liệu khóa, mà Talos cho rằng bao gồm cả các khóa bảo vệ lưu lượng data-plane.

Talos đánh giá với độ tin cậy cao rằng hạ tầng của UAT-11473 "trùng lặp đáng kể với mạng truy cập ẩn 'Silent Train' của Volt Typhoon", song không khẳng định hai bên là cùng một nhóm.

Silent Train: mạng ẩn xuyên qua hàng trăm thiết bị bị xâm nhập

Chuyên gia an ninh mạng Ed Kovacs, tác giả bài viết trên SecurityWeek

Black Lotus Labs của Lumen đã theo dõi mạng Silent Train từ cuối năm 2023. Mạng này định tuyến lưu lượng của tin tặc qua các chuỗi thiết bị bị xâm nhập gồm router văn phòng nhỏ, thiết bị IoT và hệ thống doanh nghiệp thường xuyên được thay thế, và những kẻ điều hành sẽ dọn dấu vết sau mỗi phiên.

Quá trình giám sát của Lumen đã dẫn tới hàng trăm thông báo cho nạn nhân, đồng thời giúp phát hiện ít nhất bốn chiến dịch zero-day đã được xác nhận nhắm vào Versa Director, N-able N-central, Cisco Catalyst SD-WAN và VeloCloud Orchestrator, cùng một chiến dịch có khả năng là zero-day nhắm vào Quest KACE.

Theo Lumen, Volt Typhoon đã khai thác CVE-2026-20127 từ cuối năm 2025 và tiếp tục dai dẳng rất lâu sau khi Cisco công bố lỗ hổng. Nhóm này tập trung vào các nền tảng quản lý và hệ thống control-plane khác – những nơi mang lại quyền truy cập rộng khắp tổ chức.

"Mọi chiến dịch zero-day qua Silent Train đều nhắm vào loại nền tảng này", Lumen nhấn mạnh.

Mục tiêu: doanh nghiệp viễn thông, chính phủ và hạ tầng trọng yếu

Danh sách nạn nhân bao gồm các công ty viễn thông, cơ quan chính phủ, nhà thầu quốc phòng, nhà cung cấp dịch vụ vệ tinh và truyền thông trọng yếu, các nhà cung cấp dịch vụ quản lý (MSP), trường đại học có liên kết quân sự và các đơn vị vận hành hạ tầng trọng yếu. Hawaii, California và Texas là những địa phương bị nhắm đến nhiều nhất.

Lumen nhận định mô hình nạn nhân cho thấy ý đồ tạo chỗ đứng trong những hệ thống quan trọng nhất khi xảy ra khủng hoảng địa chính trị, đặc biệt là xung quanh khu vực Ấn Độ Dương – Thái Bình Dương. Tuy nhiên, nhà nghiên cứu Mike Horka của Black Lotus Labs nói với nhà báo Kim Zetter rằng tin tặc còn đánh cắp cả tài liệu về hoạt động quân sự và cấu trúc mạng, và ông cho rằng hoạt động này kết hợp giữa "đặt trước vị trí" và gián điệp.

Báo cáo của Lumen không đề cập tới KeyDrift hay UAT-11473.

Hàm ý cho doanh nghiệp và hệ thống tại Việt Nam

Logo SecurityWeek

Sự việc một lần nữa cho thấy kịch bản tấn công chuỗi cung ứng qua các nền tảng quản lý mạng đang ngày càng phổ biến. Với các tổ chức Việt Nam, một số khuyến nghị đáng lưu ý:

• Cập nhật ngay bản vá cho Cisco SD-WAN và rà soát các nền tảng quản lý tương tự như Versa Director, VeloCloud Orchestrator
• Hạn chế phơi bày giao diện quản trị control-plane ra Internet, chỉ cho phép truy cập từ mạng tin cậy
• Giám sát bất thường ở lớp điều khiển, đặc biệt là các tiến trình control-plane bị tiêm mã lạ
• Quản lý khóa và chứng chỉ chặt chẽ, xoay vòng khóa định kỳ phòng trường hợp bị đánh cắp âm thầm

Việc các nhóm APT duy trì chỗ đứng trong thời gian dài qua hạ tầng trung gian khó truy vết cho thấy đầu tư vào phát hiện và ứng phó sự cố cần đi kèm với vá lỗ hổng – bởi bản thân lỗ hổng đã được khai thác trước cả khi có thông tin công khai.