По данным Talos, группа, которую компания отслеживает как UAT-11473, использовала уязвимость CVE-2026-20127 в Cisco Catalyst SD-WAN, чтобы внедрить KeyDrift — вредонос для сбора ключей шифрования трафика. Активность названа исторической.
Cisco Talos 28 октября опубликовала анализ семейства вредоносных программ KeyDrift, которое, по словам компании, установила в системах Cisco Catalyst SD-WAN группа, отслеживаемая как UAT-11473. По данным Talos и публикации The Hacker News, злоумышленники использовали CVE-2026-20127 — уязвимость обхода аутентификации, о которой Cisco сообщила и которую исправила в феврале 2026 года; она оценена максимальным баллом 10,0. Talos описывает KeyDrift как специально созданный фреймворк для долгосрочного закрепления и автоматизированного сбора ключевого материала из плоскости управления SD-WAN, включая ключи, защищающие трафик между площадками. Он также работает как бэкдор и промежуточный ретранслятор управления.
Talos перечисляет несколько компонентов. LittleFilch перехватывает функцию внутри процесса vdaemon, считывает ключевой материал и идентификаторы сеансов и сохраняет их в записях, зашифрованных RSA. PolyFlame работает в памяти внутри vdaemon и обеспечивает удалённую оболочку и ретрансляцию, а ряд загрузчиков и изменённых сервисных скриптов, среди них rsshd, conf_sshd и упакованный aaamgrd, запускает цепочку внедрения. По словам Talos, среди наблюдавшихся целей были космические и спутниковые услуги, оборонные и аэрокосмические технологии, а также исследования в области политики. Компания с высокой уверенностью оценивает, что инфраструктура UAT-11473 значительно пересекается с Silent Train — скрытой сетью скомпрометированных устройств, которую Black Lotus Labs компании Lumen связывает с Volt Typhoon; американские ведомства называли эту группу поддерживаемой китайским государством. Talos связывает их лишь через это пересечение инфраструктуры и не утверждает, что это один и тот же субъект.
Важные вопросы остаются открытыми. Talos представляет выводы как анализ исторической активности и не называет дат; файл конфигурации, управляющий выводом данных, обнаружить не удалось, поэтому куда уходили собранные данные и были ли ключи действительно похищены, не подтверждено. Cisco сообщает, что обходного решения нет, и клиентам следует перейти на исправленную версию в зависимости от ветки ПО и следовать руководству по укреплению защиты. Прежние рекомендации Cisco предупреждают, что эксплойты, размещённые до обновления, могут сохраниться, поэтому администраторам советуют искать признаки компрометации и при их обнаружении обращаться в поддержку Cisco. Talos также опубликовала правила Snort для уязвимости и артефактов вредоноса.
