탈로스는 UAT-11473으로 추적하는 그룹이 Cisco Catalyst SD-WAN의 취약점 CVE-2026-20127을 악용해 트래픽 암호화 키를 수집하도록 설계된 악성코드 KeyDrift를 심었다고 밝혔다. 해당 활동은 과거의 것으로 설명된다.
시스코 탈로스(Cisco Talos)는 10월 28일 KeyDrift라는 악성코드 계열에 대한 분석을 공개했다. 탈로스에 따르면 UAT-11473으로 추적하는 위협 행위자가 이를 Cisco Catalyst SD-WAN 시스템에 심었다. 탈로스와 The Hacker News 보도에 따르면 공격자들은 CVE-2026-20127을 악용했다. 이는 시스코가 2026년 2월에 공개하고 패치한 인증 우회 취약점으로, 최고 심각도인 10.0점으로 평가된다. 탈로스는 KeyDrift를 장기 잠복과, 거점 간 트래픽을 보호하는 키를 포함한 SD-WAN 제어 평면의 키 자료를 자동으로 수집하기 위해 만든 맞춤형 프레임워크라고 설명한다. 백도어이자 중간 명령·제어(C2) 중계기로도 작동한다.
탈로스는 여러 구성 요소를 나열한다. LittleFilch는 vdaemon 프로세스 안의 함수를 후킹해 키 자료와 세션 식별자를 읽고 RSA로 암호화한 레코드에 저장한다. PolyFlame은 vdaemon 내부 메모리에서 실행되며 원격 셸과 중계 기능을 제공하고, rsshd, conf_sshd, 패킹된 aaamgrd 같은 로더와 변조된 서비스 스크립트가 주입 과정을 시작한다. 탈로스는 확인된 표적에 우주·위성 서비스, 방위·항공우주 기술, 정책 연구가 포함됐다고 밝혔다. 또한 UAT-11473의 인프라가 Lumen의 Black Lotus Labs가 Volt Typhoon과 연관 짓는 침해 장비 은닉 네트워크 Silent Train과 상당 부분 겹친다고 높은 확신으로 평가한다. Volt Typhoon은 미국 기관들이 중국 국가 지원 조직으로 묘사한 바 있다. 다만 탈로스는 인프라 중복만을 근거로 둘을 연결할 뿐 동일한 행위자라고 말하지는 않는다.
중요한 의문은 남아 있다. 탈로스는 조사 결과를 과거 활동에 대한 분석으로 규정하며 날짜를 제시하지 않았다. 유출을 제어하는 설정 파일도 확보하지 못해 수집된 데이터가 어디로 갔는지, 키가 실제로 탈취됐는지는 확인되지 않았다. 시스코는 우회책이 없으며 고객이 소프트웨어 계열에 맞는 수정 버전으로 옮기고 하드닝 가이드를 따라야 한다고 밝혔다. 시스코의 이전 안내는 업그레이드 이전에 심어진 공격 코드가 남아 있을 수 있다고 경고하므로, 관리자는 침해 징후를 점검하고 발견하면 시스코 지원팀에 연락하도록 권고된다. 탈로스는 취약점과 악성코드 흔적을 탐지하는 Snort 규칙도 공개했다.
