ٹیلوس کے مطابق UAT-11473 کے نام سے ٹریک کیے جانے والے گروپ نے Cisco Catalyst SD-WAN کی خامی CVE-2026-20127 سے فائدہ اٹھا کر KeyDrift لگایا، جو ٹریفک کی انکرپشن کیز جمع کرنے کے لیے بنایا گیا میلویئر ہے۔ سرگرمی کو تاریخی بتایا گیا ہے۔
سسکو ٹیلوس نے 28 اکتوبر کو KeyDrift نامی میلویئر فیملی کا تجزیہ شائع کیا، جس کے بارے میں اس کا کہنا ہے کہ UAT-11473 کے طور پر ٹریک کیے جانے والے ایک خطرناک عنصر نے اسے Cisco Catalyst SD-WAN سسٹمز میں لگایا۔ ٹیلوس اور The Hacker News کی رپورٹ کے مطابق حملہ آوروں نے CVE-2026-20127 کا استعمال کیا، جو تصدیق کو بائی پاس کرنے کی خامی ہے؛ سسکو نے اسے فروری 2026 میں ظاہر کر کے ٹھیک کیا تھا اور اس کا شدت کا زیادہ سے زیادہ اسکور 10.0 ہے۔ ٹیلوس KeyDrift کو طویل مدتی موجودگی اور SD-WAN کنٹرول پلین سے کلیدی مواد خودکار طور پر جمع کرنے کے لیے بنایا گیا مخصوص فریم ورک قرار دیتا ہے، جس میں سائٹس کے درمیان ٹریفک کو محفوظ رکھنے والی کیز بھی شامل ہیں۔ یہ بیک ڈور اور درمیانی کمانڈ اینڈ کنٹرول ریلے کے طور پر بھی کام کرتا ہے۔
ٹیلوس کئی اجزا کی فہرست دیتا ہے۔ LittleFilch ایک vdaemon عمل کے اندر فنکشن میں ہُک لگا کر کلیدی مواد اور سیشن شناخت کنندگان پڑھتا ہے اور انہیں RSA سے انکرپٹ کردہ ریکارڈز میں رکھتا ہے۔ PolyFlame میموری میں vdaemon کے اندر چلتا ہے اور ریموٹ شیل اور ریلے کی صلاحیت دیتا ہے، جبکہ rsshd، conf_sshd اور پیک شدہ aaamgrd سمیت کئی لوڈرز اور تبدیل شدہ سروس اسکرپٹس انجیکشن کا سلسلہ شروع کرتے ہیں۔ ٹیلوس کے مطابق مشاہدہ کیے گئے اہداف میں خلائی اور سیٹلائٹ خدمات، دفاعی اور ایرو اسپیس ٹیکنالوجی، اور پالیسی تحقیق شامل تھے۔ وہ اعلیٰ اعتماد کے ساتھ اندازہ لگاتا ہے کہ UAT-11473 کا انفراسٹرکچر Silent Train سے خاصا ملتا ہے، جو متاثرہ آلات کا خفیہ نیٹ ورک ہے اور جسے Lumen کی Black Lotus Labs Volt Typhoon سے جوڑتی ہے؛ امریکی ایجنسیاں Volt Typhoon کو چینی ریاست کی حمایت یافتہ قرار دے چکی ہیں۔ ٹیلوس دونوں کو صرف اسی انفراسٹرکچر کی مماثلت سے جوڑتا ہے اور یہ نہیں کہتا کہ وہ ایک ہی عنصر ہیں۔
اہم سوالات اب بھی کھلے ہیں۔ ٹیلوس نتائج کو تاریخی سرگرمی کا تجزیہ قرار دیتا ہے اور تاریخیں نہیں دیتا؛ ڈیٹا کے اخراج کو کنٹرول کرنے والی کنفیگریشن فائل اسے نہیں ملی، اس لیے جمع کیا گیا ڈیٹا کہاں گیا اور کیا واقعی کیز چوری ہوئیں، اس کی تصدیق نہیں۔ سسکو کا کہنا ہے کہ کوئی متبادل حل نہیں اور صارفین کو سافٹ ویئر برانچ کے مطابق درست شدہ ورژن پر جانا اور اس کی ہارڈننگ گائیڈ پر عمل کرنا چاہیے۔ سسکو کی پہلے کی ہدایات خبردار کرتی ہیں کہ اپ گریڈ سے پہلے لگائے گئے ایکسپلائٹس باقی رہ سکتے ہیں، اس لیے منتظمین کو سمجھوتے کی علامات تلاش کرنے اور ملنے پر سسکو سپورٹ سے رابطہ کرنے کا مشورہ دیا جاتا ہے۔ ٹیلوس نے اس خامی اور میلویئر کے آثار کا احاطہ کرنے والے Snort رولز بھی شائع کیے ہیں۔
