Zespół Cisco Talos zidentyfikował wysoce wyrafinowaną grupę APT o nazwie UAT-11473, która wykorzystuje lukę CVE-2026-20127 do omijania uwierzytelniania w kontrolerach Cisco SD-WAN Catalyst. Atakujący instalują dedykowany framework malware o nazwie KeyDrift, mający na celu długofalową obecność w sieci i kradzież wrażliwych danych kryptograficznych.
Framework składa się z modułów PolyFlame oraz LittleFilch. PolyFlame działa w pamięci, będąc wstrzykiwanym do procesów vdaemon, co pozwala na przechwytywanie ruchu sterującego, kluczy sesji DTLS oraz metadanych. Dzięki manipulacji funkcjami systemowymi, malware może działać wewnątrz legalnych procesów, co utrudnia jego wykrycie przez standardowe mechanizmy.
Kolejny komponent, LittleFilch, odpowiada za zbieranie i eksfiltrację danych. Wykorzystuje on techniki hookingu funkcji SSLread, aby inspekcjonować odszyfrowany ruch sterujący i wyciągać materiał kluczowy dla zdefiniowanych węzłów brzegowych. Dane te są następnie lokalnie szyfrowane i przesyłane do napastników.
Analiza infrastruktury operacyjnej wskazuje na znaczące podobieństwa do sieci „Silent Train” powiązanej z grupą Volt Typhoon. Ofiarami ataków są głównie sektory obronne, lotnicze, satelitarne oraz ośrodki badawcze zajmujące się polityką.
