Volgens Talos misbruikte een groep die het volgt als UAT-11473 de kwetsbaarheid CVE-2026-20127 in Cisco Catalyst SD-WAN om KeyDrift te installeren, malware die encryptiesleutels voor verkeer moet verzamelen. De activiteit wordt als historisch omschreven.

Cisco Talos publiceerde op 28 oktober een analyse van een malwarefamilie genaamd KeyDrift, die volgens het bedrijf door een dreigingsactor die als UAT-11473 wordt gevolgd op Cisco Catalyst SD-WAN-systemen is geplaatst. Volgens Talos en een verslag van The Hacker News misbruikten de aanvallers CVE-2026-20127, een kwetsbaarheid waarmee authenticatie kan worden omzeild, die Cisco in februari 2026 openbaarde en herstelde en die de maximale ernstscore van 10,0 heeft. Talos beschrijft KeyDrift als een maatwerkframework dat is gebouwd voor langdurige aanwezigheid en voor het geautomatiseerd verzamelen van sleutelmateriaal uit het SD-WAN-controlevlak, waaronder de sleutels die verkeer tussen locaties beschermen. Het werkt ook als achterdeur en als tussenliggend command-and-controlrelais.

Talos noemt verschillende componenten. LittleFilch haakt in op een functie binnen het vdaemon-proces om sleutelmateriaal en sessie-identificaties te lezen en slaat die op in met RSA versleutelde records. PolyFlame draait in het geheugen binnen vdaemon en biedt een remote shell en relaymogelijkheden, terwijl diverse loaders en gemanipuleerde servicescripts, waaronder rsshd, conf_sshd en een ingepakte aaamgrd, de injectieketen starten. Volgens Talos omvatten de waargenomen doelwitten ruimtevaart- en satellietdiensten, defensie- en luchtvaarttechnologie en beleidsonderzoek. Het bedrijf schat met hoge zekerheid in dat de infrastructuur van UAT-11473 aanzienlijk overlapt met Silent Train, een heimelijk netwerk van gecompromitteerde apparaten dat Black Lotus Labs van Lumen koppelt aan Volt Typhoon, een groep die Amerikaanse instanties als door de Chinese staat gesteund hebben omschreven. Talos koppelt beide alleen via die infrastructuuroverlap en zegt niet dat het dezelfde actor is.

Belangrijke vragen blijven open. Talos presenteert de bevindingen als analyse van historische activiteit en noemt geen data; het configuratiebestand dat de exfiltratie aanstuurt is niet teruggevonden, dus waar verzamelde gegevens heen gingen en of er daadwerkelijk sleutels zijn gestolen, is onbevestigd. Cisco zegt dat er geen workaround is en dat klanten, afhankelijk van hun softwaretak, naar een hersteld release moeten overstappen en de hardeninggids moeten volgen. Eerdere Cisco-adviezen waarschuwen dat exploits die vóór een upgrade zijn geplaatst, kunnen blijven bestaan; beheerders wordt daarom geadviseerd te zoeken naar tekenen van compromittering en bij vondsten contact op te nemen met Cisco-support. Talos publiceerde ook Snort-regels voor de kwetsbaarheid en de malwareartefacten.