Cisco Talos attribue à UAT-11473 l’exploitation de CVE-2026-20127 pour déployer KeyDrift

Dans une analyse publiée le 28 octobre 2026, Cisco Talos a attribué à UAT-11473 l’exploitation de CVE-2026-20127 et le déploiement du malware KeyDrift sur des systèmes Cisco Catalyst SD-WAN. Talos décrit un logiciel capable d’intercepter du trafic de contrôle déchiffré et de collecter un champ qu’il évalue comme du matériel de clé AES-256 IPsec. Son analyse ne rapporte pas de transmission réussie des clés.

Repères dans l’article

• Ce que Talos attribue à UAT-11473
• Comment KeyDrift intercepte le trafic
• Rôles concernés et versions corrigées
• Indicateurs et mesures de détection
• Ce que révèle le chevauchement d’infrastructure

Ce que Talos attribue à UAT-11473

Talos qualifie l’activité de KeyDrift d’historique, sans en préciser les dates. La période « depuis au moins 2023 » concerne une activité distincte suivie sous le nom UAT-8616, et ne date pas les opérations attribuées à UAT-11473.

CVE-2026-20127 contourne l’authentification des appairages SD-WAN. Selon le résumé de l’avis Cisco publié par The Hacker News, une exploitation à distance sans authentification peut donner accès à un compte interne hautement privilégié sur un Controller. Ce compte n’est pas root, mais il peut accéder à NETCONF, le protocole de gestion réseau, et modifier la configuration de la structure SD-WAN. The Hacker News rapporte un score de gravité de 10,0 sur l’échelle CVSS.

Talos attribue également à UAT-11473 des activités visant des secteurs liés à l’espace et aux satellites, à la défense et à l’aérospatiale, ainsi qu’à la recherche sur les politiques publiques.

Comment KeyDrift intercepte le trafic

Talos décrit deux composants aux fonctions distinctes. PolyFlame réside en mémoire et s’injecte dans le processus légitime vdaemon. Il peut fournir une porte dérobée, exécuter des commandes ou servir de relais intermédiaire pour les communications de commande et de contrôle, aussi appelées C2.

LittleFilch intercepte les appels à SSL_read dans vdaemon et examine les données une fois déchiffrées. Talos évalue un champ de 32 octets extrait de ces échanges comme du matériel de clé AES-256 IPsec distribué par OMP, le protocole de routage et d’échange d’informations de Cisco SD-WAN.

LittleFilch chiffre les enregistrements collectés et les stocke localement. Le composant peut aussi les transmettre par UDP, mais Talos ne rapporte pas de transmission réussie des clés. La collecte et le stockage décrits indiquent donc ce que le malware peut faire, sans établir que les clés sont parvenues aux attaquants.

Rôles concernés et versions corrigées

The Hacker News rapporte que l’avis Cisco couvre les rôles Controller, Manager et Validator, auparavant appelés vSmart, vManage et vBond. Le périmètre comprend les déploiements sur site et hébergés, quelle que soit leur configuration.

Les premières versions corrigées rapportées varient selon la branche logicielle :

The Hacker News rapporte qu’il n’existe pas de solution de contournement. Pour les déploiements sur site, la mesure provisoire mentionnée consiste à limiter les ports 22 et 830 aux adresses IP connues des contrôleurs et des systèmes. Cette restriction ne supprime pas un malware déjà présent. Cisco avertissait aussi dans son guide de remédiation de février que des exploits pouvaient rester actifs après une mise à niveau.

Indicateurs et mesures de détection

Pour repérer une exploitation de la faille, les recommandations Cisco rapportées par The Hacker News signalent les entrées Accepted publickey for vmanage-admin dans /var/log/auth.log lorsqu’elles proviennent d’adresses IP inconnues.

Talos a publié des règles Snort liées aux artefacts de KeyDrift : identifiants 67387 à 67416 pour Snort 2 et 7:44 à 7:73 pour Snort 3. Les règles CVE indiquées sont les SID 65938 et 65958. The Hacker News précise que les règles Snort 2 associées à KeyDrift sont désactivées par défaut dans le jeu payant Subscriber.

Talos recommande aux administrateurs qui repèrent des indicateurs d’engager la réponse à incident et de contacter Cisco TAC.

Ce que révèle le chevauchement d’infrastructure

Talos estime que l’infrastructure de UAT-11473 recoupe largement Silent Train, un réseau que Lumen associe à Volt Typhoon. Lumen a également rapporté, séparément, une exploitation de CVE-2026-20127 par Volt Typhoon. Cette activité n’est pas reliée à KeyDrift dans les comptes rendus disponibles.