Cisco Talos meldde op 28 oktober 2026 dat UAT-11473 Cisco Catalyst SD-WAN-systemen met CVE-2026-20127 aanviel en daar de malware KeyDrift installeerde. Talos beschrijft hoe de malware ontsleuteld netwerkverkeer inspecteert en een veld verzamelt dat het als AES-256 IPsec-sleutelmateriaal beoordeelt. Verzending van gegevens via UDP noemt Talos als mogelijkheid.
Op deze pagina
- Wat Talos aan UAT-11473 toeschrijft
- Hoe PolyFlame en LittleFilch verkeer verwerken
- Welke Cisco SD-WAN-releases zijn genoemd
- Welke signalen beheerders kunnen controleren
Wat Talos aan UAT-11473 toeschrijft
CVE-2026-20127 omzeilt de authenticatie voor verbindingen tussen Cisco SD-WAN-componenten. Volgens The Hacker News kan een aanvaller zonder account op afstand toegang krijgen; de kwetsbaarheid kreeg in dat bericht een CVSS-score van 10,0. Op een Controller kan de aanvaller een account met hoge rechten bemachtigen. Dat account is geen root-account, maar heeft toegang tot NETCONF, waarmee de configuratie van het SD-WAN-netwerk kan worden aangepast.
De gemelde reikwijdte omvat de rollen Controller (voorheen vSmart), Manager (voorheen vManage) en Validator (voorheen vBond), in zowel lokale als door Cisco gehoste omgevingen. Volgens The Hacker News geldt die reikwijdte ongeacht de configuratie.
Talos beschreef de inzet van KeyDrift als historische activiteit. De verwijzing naar activiteiten sinds ten minste 2023 betreft het afzonderlijk gevolgde cluster UAT-8616. Talos rapporteerde ook aanzienlijke overlap tussen de infrastructuur van UAT-11473 en Silent Train. Lumen brengt Silent Train in verband met Volt Typhoon.
Hoe PolyFlame en LittleFilch verkeer verwerken
Talos beschrijft PolyFlame als een module die in het legitieme proces vdaemon wordt geïnjecteerd. Aangepaste servicepaden helpen de malware op het systeem actief te blijven. PolyFlame kan opdrachten uitvoeren en als tussenstation voor command-and-controlverkeer fungeren. Command-and-control, vaak afgekort tot C2, is verkeer waarmee een aanvaller malware aanstuurt.
De tweede module, LittleFilch, haakt in op SSL_read binnen vdaemon. Die functie verwerkt gegevens nadat de versleutelde verbinding is ontsleuteld. LittleFilch inspecteert die buffers en haalt er een veld van 32 bytes uit. Talos beoordeelt dat veld als materiaal voor AES-256 IPsec-dataverkeersleutels. IPsec is een reeks protocollen voor het beveiligen van netwerkverkeer.
LittleFilch versleutelt verzamelde records en slaat ze lokaal op. De module kan gegevens via UDP versturen; Talos kon het configuratiebestand van LittleFilch niet terughalen. De beschreven verzendfunctie is daarmee een mogelijkheid van de malware, geen vastgestelde overdracht van de verzamelde sleutels.
Welke Cisco SD-WAN-releases zijn genoemd
The Hacker News publiceerde de volgende koppeling tussen releasetak en eerste gefixte versie, op basis van Cisco's advies. Voor takken ouder dan 20.9 is migratie naar een gefixte release nodig.
| Cisco SD-WAN-releasetak | Eerste gefixte versie volgens de berichtgeving |
| Eerder dan 20.9 | Migreren naar een gefixte release |
| 20.9 | 20.9.8.2 |
| 20.11 | 20.12.6.1 |
| 20.12 | 20.12.5.3 of 20.12.6.1 |
| 20.13, 20.14 en 20.15 | 20.15.4.2 |
| 20.16 en 20.18 | 20.18.2.1 |
The Hacker News meldde ook dat Cisco geen workaround biedt. Voor lokale installaties noemde het bericht als tussenmaatregel het beperken van poort 22 en 830 tot bekende IP-adressen van controllers en systemen. Die beperking verwijdert geen malware die al op een apparaat staat.
Welke signalen beheerders kunnen controleren
Talos publiceerde Snort-regels voor CVE-2026-20127 met ID's 65938 en 65958. Voor KeyDrift noemde Talos de Snort 2-regels 67387–67416 en de Snort 3-regels 7:44–7:73. Volgens The Hacker News staan de Snort 2-regels standaard uit in de betaalde Subscriber-regelset.
Een andere gemelde aanwijzing voor misbruik van de kwetsbaarheid is een regel in /var/log/auth.log met Accepted publickey for vmanage-admin vanaf een onbekend IP-adres. Talos noemde daarnaast onder meer libdssl.so, libcommon.so, /tmp/system-vdaemon, /var/tmp/vdaemon.bin en /var/tmp/vdaemon.conf als relevante bestanden of paden.
Cisco's remediation guide adviseert volgens The Hacker News om van elk besturingsonderdeel de uitvoer van request admin-tech te verzamelen en daarin te zoeken naar bugnummer CSCws52722. Talos adviseert bij aanwijzingen van KeyDrift het incidentresponsproces te starten en contact op te nemen met Cisco TAC.
