Вчера мы писали об отчёте Lumen про сеть ретрансляторов Silent Train. Новое продолжение — отчёт Cisco Talos от 28 октября. В нём описан кластер UAT-11473 и его набор KeyDrift для контроллеров Cisco Catalyst SD-WAN. По оценке Talos, инфраструктура UAT-11473 «значительно пересекается» с Silent Train. Но тождество с Volt Typhoon Talos не утверждает.
Вход
CVE-2026-20127 (CVSS 10.0) — обход аутентификации в Catalyst SD-WAN Controller, Manager и Validator, закрытый ещё в феврале. Неаутентифицированный атакующий получает административные права. Затронуты и on-prem, и облачные развёртывания.
Что делает KeyDrift
- LittleFilch перехватывает
SSL_readв процессеvdaemon. Он собирает IP edge-роутеров и 32-байтные поля, которые Talos считает ключами AES-256 для трафика между площадками. - PolyFlame живёт в памяти
vdaemonи работает как бэкдор либо ретранслятор. Команды прячутся в управляющем трафике SD-WAN. - Закрепление идёт через подменённые runit-скрипты и фальшивую службу
aaamgr, а метки времени файлов подделываются.
Цели — космическая и спутниковая отрасль, оборонка и аэрокосмос, аналитические центры. Talos называет атаки историческими и не уточняет, были ли ключи выгружены.
Что делать
Обновиться до исправленных релизов (20.9.8.2, 20.12.5.3/20.12.6.1, 20.15.4.2, 20.18.2.1), ограничить порты 22 и 830 и применить гайд Cisco по усилению защиты. Удалит ли обновление уже установленный KeyDrift, Talos не говорит. Поэтому стоит искать следы компрометации и включить сигнатуры Snort из отчёта.
Yesterday we covered Lumen’s report on the Silent Train relay network. The follow-up is a Cisco Talos report from 28 October on the UAT-11473 cluster and its KeyDrift toolkit for Cisco Catalyst SD-WAN controllers. Talos assesses that UAT-11473’s infrastructure “overlaps considerably” with Silent Train, but does not claim the group is Volt Typhoon.
Entry point
CVE-2026-20127 (CVSS 10.0) is an authentication bypass in Catalyst SD-WAN Controller, Manager and Validator, patched back in February. It gives an unauthenticated attacker admin privileges, on-prem and in cloud deployments alike.
What KeyDrift does
- LittleFilch hooks
SSL_readin thevdaemonprocess and collects edge router IPs plus 32-byte fields Talos assesses as AES-256 keys for inter-site traffic. - PolyFlame runs in
vdaemonmemory as a backdoor or relay, taking commands hidden in SD-WAN control traffic. - Persistence relies on trojanized runit scripts and a fake
aaamgrservice, with file timestamps forged.
Targets include space and satellite services, defense and aerospace, and policy research. Talos calls the attacks historical and does not say whether keys were exfiltrated.
What to do
Upgrade to fixed releases (20.9.8.2, 20.12.5.3/20.12.6.1, 20.15.4.2, 20.18.2.1), restrict ports 22 and 830, and apply Cisco’s hardening guide. Talos does not say whether upgrading removes an existing KeyDrift implant, so hunt for compromise and deploy the Snort signatures from the report.