टैलोस के अनुसार UAT-11473 नाम से ट्रैक किए जा रहे समूह ने Cisco Catalyst SD-WAN की CVE-2026-20127 खामी का फायदा उठाकर KeyDrift लगाया, जो ट्रैफ़िक की एन्क्रिप्शन कुंजियाँ जुटाने के लिए बना मैलवेयर है। गतिविधि को ऐतिहासिक बताया गया है।
सिस्को टैलोस ने 28 अक्टूबर को KeyDrift नामक मैलवेयर परिवार का विश्लेषण प्रकाशित किया, जिसके बारे में उसका कहना है कि UAT-11473 के रूप में ट्रैक किए जा रहे एक खतरा-समूह ने उसे Cisco Catalyst SD-WAN सिस्टमों में लगाया। टैलोस और The Hacker News की रिपोर्ट के अनुसार हमलावरों ने CVE-2026-20127 का फायदा उठाया, जो ऑथेंटिकेशन बायपास की खामी है; सिस्को ने इसे फरवरी 2026 में उजागर कर ठीक किया था और इसकी गंभीरता का अधिकतम स्कोर 10.0 है। टैलोस KeyDrift को लंबे समय तक टिके रहने और SD-WAN कंट्रोल प्लेन से कुंजी-सामग्री को स्वचालित रूप से जुटाने के लिए बना कस्टम फ्रेमवर्क बताता है, जिसमें साइटों के बीच ट्रैफ़िक की रक्षा करने वाली कुंजियाँ भी शामिल हैं। यह बैकडोर और बीच के कमांड-एंड-कंट्रोल रिले के रूप में भी काम करता है।
टैलोस कई घटकों का उल्लेख करता है। LittleFilch vdaemon प्रक्रिया के भीतर एक फ़ंक्शन में हुक लगाकर कुंजी-सामग्री और सत्र पहचानकर्ता पढ़ता है और उन्हें RSA से एन्क्रिप्टेड रिकॉर्ड में रखता है। PolyFlame vdaemon के भीतर मेमोरी में चलता है और रिमोट शेल व रिले की क्षमता देता है, जबकि rsshd, conf_sshd और पैक किए गए aaamgrd सहित कई लोडर और बदली गई सर्विस स्क्रिप्टें इंजेक्शन की श्रृंखला शुरू करती हैं। टैलोस के अनुसार देखे गए निशानों में अंतरिक्ष और उपग्रह सेवाएँ, रक्षा और एयरोस्पेस तकनीक तथा नीति अनुसंधान शामिल थे। वह उच्च विश्वास के साथ आकलन करता है कि UAT-11473 का ढाँचा Silent Train से काफ़ी मेल खाता है, जो समझौता किए गए उपकरणों का गुप्त नेटवर्क है और जिसे Lumen की Black Lotus Labs Volt Typhoon से जोड़ती है; अमेरिकी एजेंसियाँ Volt Typhoon को चीन सरकार समर्थित बता चुकी हैं। टैलोस दोनों को केवल इसी ढाँचागत समानता से जोड़ता है और यह नहीं कहता कि वे एक ही समूह हैं।
कई अहम सवाल अब भी खुले हैं। टैलोस निष्कर्षों को ऐतिहासिक गतिविधि का विश्लेषण बताता है और तारीखें नहीं देता; डेटा निकासी को नियंत्रित करने वाली कॉन्फ़िगरेशन फ़ाइल उसे नहीं मिली, इसलिए जुटाया गया डेटा कहाँ गया और कुंजियाँ वाकई चोरी हुईं या नहीं, यह पुष्ट नहीं है। सिस्को का कहना है कि कोई वैकल्पिक उपाय नहीं है और ग्राहकों को सॉफ़्टवेयर शाखा के अनुसार ठीक किए गए संस्करण पर जाना चाहिए तथा उसकी हार्डनिंग गाइड का पालन करना चाहिए। सिस्को की पहले की सलाह चेतावनी देती है कि अपग्रेड से पहले लगाए गए एक्सप्लॉइट बने रह सकते हैं, इसलिए प्रशासकों को समझौते के संकेत जाँचने और मिलने पर सिस्को सपोर्ट से संपर्क करने की सलाह है। टैलोस ने इस खामी और मैलवेयर के निशानों को कवर करने वाले Snort नियम भी जारी किए हैं।
