Talos 称，其追踪的 UAT-11473 组织利用 Cisco Catalyst SD-WAN 的 CVE-2026-20127 漏洞植入 KeyDrift，这种恶意软件旨在收集流量加密密钥。相关活动被描述为历史行为。
思科 Talos 于 10 月 28 日发布了对名为 KeyDrift 的恶意软件家族的分析，称其由被追踪为 UAT-11473 的威胁行为者植入 Cisco Catalyst SD-WAN 系统。据 Talos 以及 The Hacker News 的报道，攻击者利用了 CVE-2026-20127，这是一个身份验证绕过漏洞，思科已于 2026 年 2 月披露并修复，严重性评分为最高的 10.0。Talos 将 KeyDrift 描述为一种定制框架，用于长期驻留，并自动从 SD-WAN 控制平面收集密钥材料，其中包括保护站点之间流量的密钥。它还可充当后门和中间命令与控制中继。
Talos 列出了若干组件。LittleFilch 挂钩 vdaemon 进程内的一个函数，读取密钥材料和会话标识符，并将其存入经 RSA 加密的记录。PolyFlame 在 vdaemon 内存中运行，提供远程 shell 和中继能力，而 rsshd、conf_sshd 以及经过打包的 aaamgrd 等加载器和被篡改的服务脚本则启动注入链。Talos 表示，其观察到的目标包括太空和卫星服务、国防与航空航天技术以及政策研究。Talos 以较高把握评估，UAT-11473 的基础设施与 Silent Train 大量重叠；Silent Train 是由被攻陷设备组成的隐蔽网络，Lumen 的 Black Lotus Labs 将其与 Volt Typhoon 联系起来，美国机构曾称该组织受中国政府支持。Talos 仅凭这种基础设施重叠将二者联系起来，并未表示它们是同一行为者。
仍有重要问题悬而未决。Talos 将这些发现定位为对历史活动的分析，没有给出日期；它也未找到控制数据外传的配置文件，因此所收集数据的去向以及密钥是否真被窃取尚未得到证实。思科表示没有变通办法，客户应根据软件分支升级到已修复版本，并遵循其加固指南。思科此前的指引警告称，升级之前植入的漏洞利用可能仍然存在，因此建议管理员检查是否有被入侵的迹象，一旦发现应联系思科支持。Talos 还发布了覆盖该漏洞和恶意软件痕迹的 Snort 规则。
