Cisco Talos veröffentlichte am 28. Oktober 2026 eine Analyse zu historischer Aktivität, bei der UAT-11473 laut Talos die Schwachstelle CVE-2026-20127 auf Cisco Catalyst SD-WAN ausnutzte und das Malware-Framework KeyDrift installierte. LittleFilch, eine Komponente von KeyDrift, fing entschlüsselten Kontrollverkehr ab und sammelte ein 32 Byte großes Feld, das Talos als AES-256-IPsec-Schlüsselmaterial bewertet. Das Modul verschlüsselte Datensätze und legte sie lokal ab; eine Übertragung per UDP gehört zu seinen beschriebenen Fähigkeiten.

Inhalt

Was Talos über KeyDrift berichtet

CVE-2026-20127 umgeht die Authentifizierung beim Peering von Cisco Catalyst SD-WAN. Laut einem Bericht über Ciscos Sicherheitshinweis kann ein nicht angemeldeter Angreifer dadurch aus der Ferne Zugriff erhalten. Auf einem Controller kann daraus ein hoch privilegiertes internes Konto entstehen, das nicht über Root-Rechte verfügt, aber auf NETCONF zugreifen und die SD-WAN-Fabric verändern kann.

Als betroffen nennt der Bericht Controller, Manager und Validator, einschließlich lokaler und gehosteter Installationen. Die früheren Produktnamen lauten vSmart für Controller, vManage für Manager und vBond für Validator.

Talos beschreibt KeyDrift als Framework für dauerhaften Zugriff, Befehlsausführung und das Abfangen von Kontrollverkehr. Das Framework umfasst PolyFlame und LittleFilch. Talos ordnet UAT-11473 außerdem Ziele aus den Bereichen Raumfahrt und Satellitendienste, Verteidigung und Luftfahrttechnik sowie politische Forschung zu.

Wie PolyFlame und LittleFilch arbeiten

PolyFlame wird laut Talos in den legitimen Prozess vdaemon eingeschleust. Das im Arbeitsspeicher laufende Modul kann als Hintertür für Befehle oder als Zwischenstation für die Kommunikation mit einer Steuerungsinfrastruktur dienen. LittleFilch klinkt sich in die Funktion SSL_read desselben Prozesses ein. So untersucht es bereits entschlüsselte Datenpuffer des SD-WAN-Kontrollverkehrs.

In diesen Puffern sucht LittleFilch nach einem 32 Byte großen Feld, das Talos als über OMP verteiltes AES-256-IPsec-Schlüsselmaterial für die Datenebene bewertet. OMP ist das Overlay Management Protocol, über das SD-WAN-Steuerinformationen verteilt werden. LittleFilch verschlüsselt gesammelte Datensätze mit RSA und speichert sie lokal. Das Modul kann sie auch über UDP versenden.

Betroffene Rollen und berichtete Fix-Versionen

The Hacker News führt folgende erste behobene Versionen je Software-Zweig auf. Für Versionen vor 20.9 nennt der Bericht die Migration auf eine behobene Version.

Software-ZweigBerichtete Fix-Version
Vor 20.9Auf eine behobene Version migrieren
20.920.9.8.2
20.1120.12.6.1
20.1220.12.5.3 oder 20.12.6.1
20.13, 20.14 und 20.1520.15.4.2
20.16 und 20.1820.18.2.1

Für lokale Installationen nennt der Bericht als Zwischenmaßnahme, die Ports 22 und 830 auf bekannte Controller- und System-IP-Adressen zu beschränken. Diese Einschränkung entfernt keine Malware, die bereits auf einem Gerät liegt.

Welche Spuren Administratoren prüfen können

Talos veröffentlichte Snort-Regeln für CVE-2026-20127 mit den Kennungen 65938 und 65958. Für KeyDrift nennt Talos die Snort-2-SIDs 67387 bis 67416 sowie die Snort-3-Kennungen 7:44 bis 7:73.

Als weiteren Prüfansatz nennt ein Bericht über Ciscos Remediation-Leitfaden Einträge in /var/log/auth.log, in denen Accepted publickey for vmanage-admin von unbekannten IP-Adressen erscheint. Zu den von Talos beschriebenen Komponenten und Pfaden gehören libdssl.so, libcommon.so, conf_sshd, rsshd und /etc/sv/aaamgr/.

Was die Infrastrukturüberschneidung aussagt

Talos bewertet die Infrastruktur von UAT-11473 als deutlich mit Silent Train überlappend. Lumen verwendet Silent Train für ein Netzwerk kompromittierter Geräte und bringt es mit Volt Typhoon in Verbindung. Diese Infrastrukturbezüge sind getrennt von der Zuschreibung des KeyDrift-Einsatzes an UAT-11473.