Il 28 ottobre 2026 Cisco Talos ha attribuito a UAT-11473 lo sfruttamento di CVE-2026-20127 per installare KeyDrift sui sistemi Cisco Catalyst SD-WAN. Il malware intercetta traffico di controllo decifrato e raccoglie un campo di 32 byte che Talos valuta come materiale per chiavi AES-256 IPsec.
Indice
- Cosa ha riferito Talos su UAT-11473
- Come KeyDrift intercetta il traffico
- Ruoli coinvolti e versioni correttive
- Indicatori da controllare
Cosa ha riferito Talos su UAT-11473
Talos descrive come storica l’attività associata a KeyDrift. Il riferimento a operazioni almeno dal 2023 riguarda invece UAT-8616, un distinto cluster di attività.
Talos valuta inoltre che l’infrastruttura di UAT-11473 si sovrapponga a Silent Train. Lumen associa Silent Train a Volt Typhoon: la sovrapposizione riguarda l’infrastruttura, non identifica i due gruppi come lo stesso attore.
Come KeyDrift intercetta il traffico
CVE-2026-20127 aggira l’autenticazione del peering SD-WAN. Secondo il resoconto di The Hacker News, un attaccante remoto non autenticato può ottenere su un Controller un account interno con privilegi elevati, ma non root, accedere a NETCONF e modificare la configurazione della fabric SD-WAN.
La vulnerabilità interessa i ruoli Cisco Catalyst SD-WAN Controller, già vSmart, Manager, già vManage, e Validator, già vBond, sia nelle installazioni locali sia in quelle ospitate da Cisco, indipendentemente dalla configurazione.
Talos descrive PolyFlame come un modulo residente in memoria e iniettato nel processo legittimo vdaemon. Può eseguire comandi e svolgere funzioni di comando e controllo intermedio. LittleFilch aggancia la funzione SSL_read nello stesso processo e analizza i buffer dopo la decifratura. Da lì raccoglie il campo di 32 byte che Talos valuta come materiale per chiavi AES-256 IPsec distribuite tramite OMP.
LittleFilch cifra i record raccolti e li archivia localmente; può anche inviarli via UDP. La trasmissione è una capacità descritta per il modulo, mentre l’analisi attribuisce alle operazioni la raccolta e l’archiviazione dei record.
Ruoli coinvolti e versioni correttive
La mappatura delle correzioni Cisco riportata da The Hacker News indica versioni diverse secondo il ramo software. Per i rami precedenti alla 20.9, è indicata la migrazione a una versione corretta.
| Ramo software | Prima versione corretta riportata |
| Precedente alla 20.9 | Migrare a una versione corretta |
| 20.9 | 20.9.8.2 |
| 20.11 | 20.12.6.1 |
| 20.12 | 20.12.5.3 oppure 20.12.6.1 |
| 20.13, 20.14 e 20.15 | 20.15.4.2 |
| 20.16 e 20.18 | 20.18.2.1 |
The Hacker News riferisce che Cisco non indica un workaround. Per le installazioni locali, riporta come misura provvisoria la limitazione delle porte 22 e 830 agli indirizzi IP noti di controller e sistemi. La restrizione delle porte non rimuove malware già presente.
Indicatori da controllare
Tra gli indicatori descritti da Talos figurano libdssl.so, libcommon.so, conf_sshd, rsshd e il percorso /tmp/system-vdaemon; sono citati anche /var/tmp/vdaemon.bin e /var/tmp/vdaemon.conf. Il resoconto di The Hacker News riporta come controllo indicato da Cisco le voci Accepted publickey for vmanage-admin da indirizzi IP sconosciuti in /var/log/auth.log.
Talos ha pubblicato le regole Snort per CVE-2026-20127, SID 65938 e 65958, e quelle relative a KeyDrift: SID 67387-67416 per Snort 2 e 7:44-7:73 per Snort 3. Secondo The Hacker News, le regole Snort 2 sono disattivate per impostazione predefinita nel set Subscriber a pagamento.
Il resoconto cita inoltre la raccolta dell’output request admin-tech da ciascun componente di controllo e il controllo dei file per il bug CSCws52722. Talos raccomanda di avviare la risposta agli incidenti e contattare Cisco TAC quando vengono individuati indicatori.
