Talos, UAT-11473 olarak izlediği grubun Cisco Catalyst SD-WAN'daki CVE-2026-20127 açığını kullanarak trafik şifreleme anahtarlarını toplamak üzere tasarlanmış KeyDrift'i yerleştirdiğini söylüyor. Faaliyet geçmişte kalmış olarak tanımlanıyor.
Cisco Talos, 28 Ekim'de KeyDrift adını verdiği kötü amaçlı yazılım ailesinin bir analizini yayımladı; şirkete göre bu yazılım, UAT-11473 olarak izlenen bir tehdit aktörü tarafından Cisco Catalyst SD-WAN sistemlerine yerleştirildi. Talos'a ve The Hacker News'in haberine göre saldırganlar, Cisco'nun Şubat 2026'da açıklayıp yamaladığı ve en yüksek önem puanı olan 10,0 ile derecelendirilen bir kimlik doğrulama atlatma açığı olan CVE-2026-20127'yi kullandı. Talos, KeyDrift'i uzun süreli kalıcılık ve SD-WAN kontrol düzleminden, siteler arası trafiği koruyan anahtarlar dahil anahtar malzemesinin otomatik toplanması için geliştirilmiş özel bir çerçeve olarak tanımlıyor. Ayrıca arka kapı ve ara komuta-kontrol rölesi olarak da çalışıyor.
Talos birkaç bileşeni sıralıyor. LittleFilch, vdaemon sürecindeki bir işleve bağlanarak anahtar malzemesini ve oturum tanımlayıcılarını okuyor ve bunları RSA ile şifrelenmiş kayıtlarda saklıyor. PolyFlame, vdaemon içinde bellekte çalışarak uzak kabuk ve aktarım yeteneği sağlıyor; rsshd, conf_sshd ve paketlenmiş bir aaamgrd gibi yükleyiciler ile değiştirilmiş servis betikleri ise enjeksiyon zincirini başlatıyor. Talos'a göre gözlemlenen hedefler arasında uzay ve uydu hizmetleri, savunma ve havacılık teknolojisi ile politika araştırmaları vardı. Şirket, UAT-11473'ün altyapısının, Lumen'in Black Lotus Labs birimince Volt Typhoon ile ilişkilendirilen ele geçirilmiş cihazlardan oluşan gizli ağ Silent Train ile büyük ölçüde örtüştüğünü yüksek güvenle değerlendiriyor; ABD kurumları Volt Typhoon'u Çin devleti destekli olarak tanımlamıştı. Talos ikisini yalnızca bu altyapı örtüşmesi üzerinden ilişkilendiriyor ve aynı aktör olduklarını söylemiyor.
Önemli sorular yanıtsız kalıyor. Talos bulguları geçmiş faaliyetin analizi olarak sunuyor ve tarih vermiyor; veri sızdırmayı denetleyen yapılandırma dosyasını ele geçiremediği için toplanan verilerin nereye gittiği ve anahtarların gerçekten çalınıp çalınmadığı doğrulanmış değil. Cisco, geçici bir çözüm olmadığını, müşterilerin yazılım koluna göre düzeltilmiş bir sürüme geçmesi ve sağlamlaştırma kılavuzunu izlemesi gerektiğini belirtiyor. Cisco'nun önceki yönergeleri, yükseltmeden önce yerleştirilen istismarların kalabileceği uyarısını yapıyor; bu nedenle yöneticilere ele geçirilme belirtilerini araştırmaları ve bulurlarsa Cisco desteğiyle iletişime geçmeleri öneriliyor. Talos ayrıca açığı ve kötü amaçlı yazılım artefaktlarını kapsayan Snort kuralları yayımladı.
