Cisco Talos przypisał UAT-11473 wdrożenie KeyDrift

28 października 2026 r. Cisco Talos opisał historyczne wykorzystanie luki CVE-2026-20127 w systemach Cisco Catalyst SD-WAN, przypisane grupie UAT-11473, oraz wdrożenie malware’u KeyDrift. Talos ocenia, że jeden z jego modułów zbierał materiał kluczy AES-256 IPsec z odszyfrowanego ruchu sterującego. Analiza opisuje też lokalne, szyfrowane przechowywanie tych danych i możliwość ich wysłania, ale nie potwierdza, że klucze zostały przesłane.

Spis treści

• Co Talos ustalił o KeyDrift
• Jak PolyFlame i LittleFilch przechwytują ruch
• Role SD-WAN i zgłoszone poprawki
• Wskaźniki wykrywania i przypisanie aktywności

Co Talos ustalił o KeyDrift

CVE-2026-20127 omija uwierzytelnianie przy zestawianiu połączeń między elementami Cisco Catalyst SD-WAN. Według opisu The Hacker News zdalny, nieuwierzytelniony napastnik mógł uzyskać na kontrolerze wysoko uprzywilejowane konto wewnętrzne, które nie ma uprawnień roota, a następnie korzystać z NETCONF i zmieniać konfigurację sieci SD-WAN. The Hacker News podaje dla luki ocenę 10,0 w skali CVSS.

Cisco Talos przypisał wdrożenie KeyDrift grupie UAT-11473. Określił opisywaną aktywność jako historyczną, lecz nie podał jej dat. Wzmianka o działalności sięgającej co najmniej 2023 r. dotyczy odrębnego klastra UAT-8616, a nie KeyDrift.

Jak PolyFlame i LittleFilch przechwytują ruch

Talos opisuje dwa moduły KeyDrift działające w procesie vdaemon. PolyFlame pozostaje w pamięci i zapewnia funkcje zdalnego wykonywania poleceń lub pośredniczenia w komunikacji z infrastrukturą sterującą. Talos wskazuje też zmodyfikowane ścieżki usług jako sposób uruchamiania malware’u.

LittleFilch przechwytuje wywołania SSL_read, czyli odczyt danych po odszyfrowaniu połączenia. Analizuje bufory ruchu sterującego i wydobywa między innymi 32-bajtowe pole, które Talos ocenia jako materiał kluczy AES-256 IPsec dystrybuowanych przez OMP. Moduł szyfruje zebrane rekordy i zapisuje je lokalnie; może również wysyłać je przez UDP. Możliwość wysyłania danych nie oznacza, że analiza potwierdziła ich transmisję.

Role SD-WAN i zgłoszone poprawki

Według opisu The Hacker News problem dotyczy ról Controller, Manager i Validator, wcześniej nazywanych odpowiednio vSmart, vManage i vBond. Zakres obejmuje wdrożenia lokalne oraz hostowane przez Cisco, niezależnie od konfiguracji.

The Hacker News podał następujące pierwsze poprawione wersje według gałęzi oprogramowania:

Wersja naprawcza zależy od gałęzi, dlatego samo porównanie numerów nie wystarcza do wyboru aktualizacji. Cisco nie przewiduje obejścia luki. Dla wdrożeń lokalnych opisano tymczasowe ograniczenie dostępu do portów 22 i 830 do znanych adresów IP kontrolerów i systemów. Takie ograniczenie nie usuwa malware’u, który już znajduje się na urządzeniu.

Wskaźniki wykrywania i przypisanie aktywności

Wśród sprawdzanych śladów wykorzystania CVE The Hacker News wymienia wpisy w /var/log/auth.log o treści Accepted publickey for vmanage-admin pochodzące z nieznanych adresów IP. Talos wskazuje też nazwy i ścieżki związane z KeyDrift, w tym conf_sshd, rsshd, libdssl.so, libcommon.so, /tmp/system-vdaemon, /var/tmp/vdaemon.bin oraz /var/tmp/vdaemon.conf.

Talos opublikował identyfikatory reguł Snort wykrywających artefakty KeyDrift: 67387–67416 dla Snort 2 oraz 7:44–7:73 dla Snort 3. Reguły związane z samą luką mają identyfikatory 65938 i 65958. Według The Hacker News reguły KeyDrift dla Snort 2 są domyślnie wyłączone w płatnym zestawie Subscriber.

Talos ocenia, że infrastruktura UAT-11473 w znacznym stopniu pokrywa się z siecią Silent Train, którą Lumen wiąże z Volt Typhoon. To ocena podobieństwa infrastruktury, nie identyfikacja UAT-11473 z Volt Typhoon.