Talos affirme qu'un groupe qu'il suit sous le nom d'UAT-11473 a exploité la faille CVE-2026-20127 de Cisco Catalyst SD-WAN pour installer KeyDrift, un malware conçu pour collecter les clés de chiffrement du trafic. L'activité est décrite comme historique.

Cisco Talos a publié le 28 octobre une analyse d'une famille de logiciels malveillants baptisée KeyDrift, qui, selon l'entreprise, a été installée sur des systèmes Cisco Catalyst SD-WAN par un acteur suivi sous le nom d'UAT-11473. D'après Talos et un article de The Hacker News, les attaquants ont exploité CVE-2026-20127, une faille de contournement d'authentification que Cisco a divulguée et corrigée en février 2026 et qui reçoit la note de gravité maximale de 10,0. Talos décrit KeyDrift comme un cadre sur mesure conçu pour la persistance à long terme et la collecte automatisée de matériel cryptographique issu du plan de contrôle SD-WAN, y compris les clés qui protègent le trafic entre les sites. Il sert aussi de porte dérobée et de relais intermédiaire de commande et de contrôle.

Talos énumère plusieurs composants. LittleFilch intercepte une fonction du processus vdaemon pour lire du matériel de clés et des identifiants de session, puis les stocke dans des enregistrements chiffrés en RSA. PolyFlame s'exécute en mémoire dans vdaemon et offre un shell distant et des capacités de relais, tandis que plusieurs chargeurs et scripts de service modifiés, dont rsshd, conf_sshd et un aaamgrd compressé, lancent la chaîne d'injection. Selon Talos, les cibles observées comprenaient les services spatiaux et satellitaires, les technologies de défense et d'aérospatiale, et la recherche en politiques publiques. L'entreprise estime avec un haut niveau de confiance que l'infrastructure d'UAT-11473 recoupe largement Silent Train, un réseau discret d'appareils compromis que les Black Lotus Labs de Lumen associent à Volt Typhoon, un groupe que des agences américaines ont décrit comme soutenu par l'État chinois. Talos ne relie les deux que par ce recoupement d'infrastructure et ne dit pas qu'il s'agit du même acteur.

De grandes questions restent ouvertes. Talos présente ses conclusions comme l'analyse d'une activité historique et ne donne pas de dates ; il n'a pas retrouvé le fichier de configuration qui commande l'exfiltration, de sorte que la destination des données collectées, et le fait que des clés aient réellement été volées, ne sont pas confirmés. Cisco indique qu'il n'existe aucun contournement et que les clients doivent passer à une version corrigée, selon leur branche logicielle, et suivre son guide de durcissement. Les consignes antérieures de Cisco avertissent que des exploits installés avant une mise à niveau peuvent subsister ; il est donc conseillé aux administrateurs de rechercher des signes de compromission et de contacter l'assistance Cisco s'ils en trouvent. Talos a aussi publié des règles Snort couvrant la faille et les artefacts du malware.