تقول تالوس إن مجموعة تتتبعها باسم UAT-11473 استغلت الثغرة CVE-2026-20127 في Cisco Catalyst SD-WAN لزرع KeyDrift، وهي برمجية خبيثة صُممت لجمع مفاتيح تشفير حركة البيانات. ويوصف النشاط بأنه تاريخي.
نشرت شركة Cisco Talos في 28 أكتوبر تحليلاً لعائلة برمجيات خبيثة تسميها KeyDrift، وتقول إن جهة تهديد تتبعها باسم UAT-11473 زرعتها في أنظمة Cisco Catalyst SD-WAN. ووفق تالوس وتقرير موقع The Hacker News، استغل المهاجمون الثغرة CVE-2026-20127، وهي ثغرة تجاوز مصادقة كشفت عنها سيسكو وأصلحتها في فبراير 2026 وتبلغ درجة خطورتها القصوى 10.0. وتصف تالوس KeyDrift بأنها إطار عمل مخصص صُمم للبقاء طويل الأمد ولجمع المواد المفتاحية آلياً من مستوى التحكم في SD-WAN، بما في ذلك المفاتيح التي تحمي الحركة بين المواقع. كما تعمل كباب خلفي وكمرحّل وسيط للتحكم والسيطرة.
وتسرد تالوس عدة مكونات. فـ LittleFilch يعترض دالة داخل عملية vdaemon لقراءة المواد المفتاحية ومعرّفات الجلسات ثم يخزنها في سجلات مشفرة بخوارزمية RSA. أما PolyFlame فيعمل في الذاكرة داخل vdaemon ويوفر وصولاً عبر سطر الأوامر وقدرات الترحيل، بينما تبدأ مجموعة من المحمّلات والسكربتات المعدّلة، ومنها rsshd وconf_sshd وaaamgrd المضغوط، سلسلة الحقن. وتقول تالوس إن الاستهداف الذي رصدته شمل خدمات الفضاء والأقمار الاصطناعية وتقنيات الدفاع والطيران وأبحاث السياسات. وتقدّر بثقة عالية أن بنية UAT-11473 التحتية تتداخل بدرجة كبيرة مع Silent Train، وهي شبكة سرية من الأجهزة المخترقة تربطها مختبرات Black Lotus التابعة لـ Lumen بمجموعة Volt Typhoon التي وصفتها وكالات أمريكية بأنها مدعومة من الدولة الصينية. وتربط تالوس بين الجهتين عبر هذا التداخل فقط ولا تقول إنهما الجهة نفسها.
وتبقى أسئلة مهمة بلا إجابة. فتالوس تقدم النتائج بوصفها تحليلاً لنشاط تاريخي ولا تذكر تواريخ، ولم تعثر على ملف الإعدادات الذي يتحكم في التسريب، لذا فوجهة أي بيانات جُمعت، وما إذا كانت المفاتيح قد سُرقت فعلاً، غير مؤكدين. وتقول سيسكو إنه لا يوجد حل بديل وإن على العملاء الانتقال إلى إصدار مصحَّح بحسب فرع البرمجيات، واتباع دليل التحصين الخاص بها. وتحذر إرشادات سيسكو السابقة من أن عمليات الاستغلال التي سبقت الترقية قد تبقى قائمة، لذا يُنصح المسؤولون بالبحث عن علامات الاختراق والتواصل مع دعم سيسكو عند العثور عليها. كما نشرت تالوس قواعد Snort تغطي الثغرة وآثار البرمجية الخبيثة.
