Laut Talos nutzte eine als UAT-11473 verfolgte Gruppe die Schwachstelle CVE-2026-20127 in Cisco Catalyst SD-WAN, um KeyDrift einzuschleusen – Malware, die Schlüssel für die Datenverschlüsselung sammeln soll. Die Aktivität wird als historisch beschrieben.

Cisco Talos hat am 28. Oktober eine Analyse einer Malware-Familie namens KeyDrift veröffentlicht, die nach Angaben des Unternehmens von einem als UAT-11473 verfolgten Akteur auf Cisco-Catalyst-SD-WAN-Systemen installiert wurde. Laut Talos und einem Bericht von The Hacker News nutzten die Angreifer CVE-2026-20127, eine Schwachstelle zur Umgehung der Authentifizierung, die Cisco im Februar 2026 offengelegt und behoben hat und die mit dem Höchstwert 10,0 bewertet ist. Talos beschreibt KeyDrift als maßgeschneidertes Framework für dauerhafte Präsenz und die automatisierte Sammlung von Schlüsselmaterial aus der SD-WAN-Kontrollebene, darunter die Schlüssel, die den Datenverkehr zwischen Standorten schützen. Zudem dient es als Hintertür und als zwischengeschaltetes Command-and-Control-Relais.

Talos nennt mehrere Komponenten. LittleFilch klinkt sich in eine Funktion im Prozess vdaemon ein, liest Schlüsselmaterial und Sitzungskennungen aus und legt sie in RSA-verschlüsselten Datensätzen ab. PolyFlame läuft im Arbeitsspeicher von vdaemon und bietet eine Remote-Shell sowie Relay-Funktionen; mehrere Lader und manipulierte Dienstskripte, darunter rsshd, conf_sshd und ein gepacktes aaamgrd, starten die Injektionskette. Die beobachteten Ziele umfassten laut Talos Raumfahrt- und Satellitendienste, Verteidigungs- und Luftfahrttechnik sowie politische Forschung. Mit hoher Sicherheit gehe Talos davon aus, dass sich die Infrastruktur von UAT-11473 erheblich mit Silent Train überschneidet, einem verdeckten Netz kompromittierter Geräte, das Lumens Black Lotus Labs mit Volt Typhoon in Verbindung bringt – einer Gruppe, die US-Behörden als staatlich chinesisch unterstützt beschrieben haben. Talos verknüpft beide nur über diese Infrastrukturüberschneidung und sagt nicht, dass es sich um denselben Akteur handelt.

Wichtige Fragen bleiben offen. Talos stellt die Ergebnisse als Analyse historischer Aktivität dar und nennt keine Daten; die Konfigurationsdatei, die den Abfluss steuert, wurde nicht gefunden, weshalb unklar ist, wohin gesammelte Daten gingen und ob tatsächlich Schlüssel gestohlen wurden. Cisco erklärt, es gebe keinen Workaround, und Kunden sollten je nach Software-Zweig auf eine korrigierte Version wechseln und den Härtungsleitfaden befolgen. Frühere Cisco-Hinweise warnen, dass vor einem Upgrade platzierte Exploits bestehen bleiben können; Administratoren sollten daher nach Kompromittierungsspuren suchen und bei Funden den Cisco-Support kontaktieren. Talos hat außerdem Snort-Regeln für die Schwachstelle und die Malware-Artefakte veröffentlicht.