APT-група експлуатує уразливість Cisco SD‑WAN і розгортає фреймворк KeyDrift
Дослідники Cisco Talos зафіксували атаки APT‑угруповання UAT‑11473 через критичну уразливість у Cisco Catalyst SD‑WAN Controllers, під час яких впроваджується кастомний фреймворк KeyDrift.
APT‑група UAT‑11473 експлуатує критичну уразливість CVE‑2026‑20127 в Cisco Catalyst SD‑WAN Controllers для встановлення власного шкідливого фреймворку KeyDrift, повідомляє Cisco Talos.
Що відомо про уразливість
CVE‑2026‑20127 — максимального рівня небезпеки; за даними компанії, виправлення вийшло у лютому 2026 року. Помилка дозволяє дистанційно отримати привілейований доступ до Catalyst SD‑WAN Controller і Manager та додавати фальшиві вузли‑піринги.
За повідомленнями дослідників, цю вразливість як zero‑day з 2023 року експлуатувало й угруповання UAT‑8616; окремі роботи пов’язують її з китайською державно підтримуваною групою Volt Typhoon.
Як працює KeyDrift
Talos оцінює з високою впевненістю, що KeyDrift створено для тривалого прихованого доступу і автоматизованого вивантаження чутливих ключових матеріалів. Фреймворк діє всередині процесів контрольної площини SD‑WAN, перехоплює розшифрований керувальний трафік, видобуває метадані сесій і ключі дата‑плейну, а зібрані дані готує до передачі або відсилає у зашифрованому вигляді.
У KeyDrift дві основні компоненти — PolyFlame і LittleFilch — для яких спостерігаються ознаки активної розробки: нові антивідлагоджувальні прийоми та імітація різних процесів.
- PolyFlame запускається всередині легітимних процесів vdaemon через модифіковані скрипти запуску сервісів і інжектор. Підтримує виконання команд у стилі TinyShell, передавання файлів та ретрансляцію зв’язку між C2‑сервером і кількома пірами.
- LittleFilch перехоплює керувальні повідомлення після розшифрування, підключаючись до SSL_read. Для заздалегідь визначених edge‑вузлів витягує IP‑ідентифікатори та 32‑байтове поле, яке Talos вважає матеріалом ключа AES‑256 для IPsec дата‑плейну. Дані шифруються RSA, зберігаються у /var/tmp/vdaemon.bin і надсилаються зловмисникам по UDP.
Кого націлюють
За спостереженнями Cisco, атаки були спрямовані на космічні та супутникові сервіси, оборонні й аерокосмічні технології, а також аналітичні центри з питань політики.
Зв’язок із Volt Typhoon
Cisco Talos вказує на перетин активності кластера UAT‑11473 із «Silent Train» — прихованою мережею доступу Volt Typhoon, але прямих підтверджень не наводить. У звіті Lumen, опублікованому напередодні, «Silent Train» описано як механізм обходу виявлення під час експлуатації zero‑day‑уразливостей.
Що робити адміністраторам
Cisco радить якнайшвидше встановити оновлення безпеки для CVE‑2026‑20127 та скористатися гайдом із жорсткого налаштування Catalyst SD‑WAN‑розгортань.
