Talos によると、UAT-11473 として追跡するグループが Cisco Catalyst SD-WAN の脆弱性 CVE-2026-20127 を悪用し、通信の暗号鍵を収集するよう設計されたマルウェア KeyDrift を仕込んだ。活動は過去のものと説明されている。
Cisco Talos は 10 月 28 日、KeyDrift と名付けたマルウェアファミリーの分析を公開した。同社によれば、UAT-11473 として追跡している脅威アクターが Cisco Catalyst SD-WAN のシステムに仕込んだという。Talos と The Hacker News の報道によると、攻撃者は CVE-2026-20127 を悪用した。これは認証バイパスの脆弱性で、Cisco が 2026 年 2 月に公表して修正済みであり、深刻度は最高値の 10.0 と評価されている。Talos は KeyDrift を、長期的な潜伏と、拠点間の通信を保護する鍵を含む SD-WAN 制御プレーンの鍵情報の自動収集のために作られた独自のフレームワークだと説明している。バックドアや中継用のコマンド&コントロールとしても機能する。
Talos は複数のコンポーネントを挙げている。LittleFilch は vdaemon プロセス内の関数をフックして鍵情報とセッション識別子を読み取り、RSA で暗号化したレコードとして保存する。PolyFlame は vdaemon 内でメモリ上に常駐し、リモートシェルと中継機能を提供する。rsshd、conf_sshd、パックされた aaamgrd などのローダーや改変されたサービススクリプトが、注入の連鎖を開始する。Talos によれば、確認された標的には宇宙・衛星サービス、防衛・航空宇宙技術、政策研究が含まれていた。UAT-11473 のインフラは、Lumen の Black Lotus Labs が Volt Typhoon と関連付ける侵害機器の秘匿ネットワーク「Silent Train」とかなり重なっていると、Talos は高い確度で評価している。Volt Typhoon は米国の機関が中国の国家支援と説明している。ただし Talos はインフラの重なりだけを根拠としており、同一の主体だとは述べていない。
重要な疑問は残っている。Talos は調査結果を過去の活動の分析と位置づけ、時期は示していない。情報送出を制御する設定ファイルは回収できておらず、収集されたデータの送信先や、鍵が実際に盗まれたかどうかは確認されていない。Cisco は回避策はなく、顧客はソフトウェアの系統に応じた修正版へ移行し、ハードニングガイドに従うよう求めている。Cisco の以前の案内では、アップグレード前に仕込まれたエクスプロイトが残る可能性があると警告しており、管理者は侵害の兆候を調べ、見つかった場合は Cisco サポートに連絡することが推奨される。Talos は脆弱性とマルウェアの痕跡に対応する Snort ルールも公開した。
