Secondo Talos, un gruppo tracciato come UAT-11473 ha sfruttato la falla CVE-2026-20127 di Cisco Catalyst SD-WAN per installare KeyDrift, un malware progettato per raccogliere le chiavi di cifratura del traffico. L'attività è definita storica.

Il 28 ottobre Cisco Talos ha pubblicato l'analisi di una famiglia di malware chiamata KeyDrift, che secondo l'azienda è stata installata su sistemi Cisco Catalyst SD-WAN da un attore tracciato come UAT-11473. Secondo Talos e un articolo di The Hacker News, gli aggressori hanno sfruttato CVE-2026-20127, una vulnerabilità di aggiramento dell'autenticazione che Cisco ha divulgato e corretto nel febbraio 2026 e che ha il punteggio di gravità massimo, 10,0. Talos descrive KeyDrift come un framework su misura progettato per la persistenza a lungo termine e la raccolta automatizzata di materiale crittografico dal piano di controllo SD-WAN, comprese le chiavi che proteggono il traffico tra le sedi. Funziona anche da backdoor e da relay intermedio di comando e controllo.

Talos elenca diversi componenti. LittleFilch intercetta una funzione all'interno del processo vdaemon per leggere materiale di chiavi e identificatori di sessione, per poi salvarli in record cifrati con RSA. PolyFlame viene eseguito in memoria dentro vdaemon e offre una shell remota e funzioni di relay, mentre vari loader e script di servizio alterati, tra cui rsshd, conf_sshd e un aaamgrd compresso, avviano la catena di iniezione. Talos riferisce che i bersagli osservati comprendevano servizi spaziali e satellitari, tecnologie per la difesa e l'aerospazio e ricerca sulle politiche pubbliche. Valuta con alta fiducia che l'infrastruttura di UAT-11473 si sovrapponga in modo considerevole a Silent Train, una rete occulta di dispositivi compromessi che i Black Lotus Labs di Lumen collegano a Volt Typhoon, gruppo che agenzie statunitensi hanno descritto come sostenuto dallo Stato cinese. Talos collega i due solo tramite questa sovrapposizione di infrastruttura e non afferma che siano lo stesso attore.

Restano aperte domande importanti. Talos presenta i risultati come analisi di attività storica e non fornisce date; non ha recuperato il file di configurazione che controlla l'esfiltrazione, quindi la destinazione dei dati raccolti e l'effettivo furto di chiavi non sono confermati. Cisco afferma che non esiste alcuna soluzione alternativa e che i clienti devono passare a una versione corretta, a seconda del ramo software, e seguire la guida al rafforzamento. Le precedenti indicazioni di Cisco avvertono che exploit installati prima di un aggiornamento possono restare attivi, per cui gli amministratori sono invitati a cercare segni di compromissione e a contattare l'assistenza Cisco se li trovano. Talos ha inoltre pubblicato regole Snort che coprono la vulnerabilità e gli artefatti del malware.