Cisco Talos описала KeyDrift - вредоносный фреймворк, который связанная с Volt Typhoon группа UAT-11473 внедряет в контроллеры Cisco SD-WAN. Атакующие используют обход аутентификации CVE-2026-20127, после чего получают долговременный доступ к служебным процессам контроллера и собирают ключи шифрования. Патчи для уязвимости уже вышли, но Talos призывает проверить сети на признаки компрометации. По данным исследования, UAT-11473 - высококвалифицированная APT; её инфраструктура заметно пересекается с сетью доступа Volt Typhoon «Silent Train». Цели - космические и спутниковые сервисы, оборонная и аэрокосмическая отрасль, исследовательские центры по политике.
KeyDrift состоит из нескольких компонентов. Основной - PolyFlame: модуль в памяти, который разворачивается через изменённые сервисы runit и внедряется в легитимные процессы vdaemon. Он перехватывает работу сокетов и DTLS, умеет выполнять команды и служить промежуточным C2; в одном из вариантов маскируется под упакованный загрузчик aaamgrd с антиотладкой.
Второй модуль, LittleFilch, ставит хук на SSL_read в vdaemon, вылавливает расшифрованный управляющий трафик и извлекает ключевой материал для заранее заданных граничных узлов. Данные шифруются RSA и складываются в /var/tmp/vdaemon.bin, а затем могут уходить по UDP в записях, похожих на DTLS.
Talos отмечает, что часть вариантов и способов развёртывания меняется, то есть фреймворк активно развивают. Компания выпустила патчи для CVE-2026-20127 и руководство по защите, а Snort-правила покрывают эксплуатацию и артефакты. Организациям советуют срочно установить обновления и искать следы активности после компрометации.
