Eksperci z Cisco Talos oraz Lumen Black Lotus Labs ujawnili kampanię wykorzystującą krytyczną podatność CVE-2026-20127 w rozwiązaniach Cisco SD-WAN. Luka ta, o najwyższym współczynniku CVSS wynoszącym 10, pozwala atakującym na zdalne obejście uwierzytelniania i przejęcie uprawnień administratora bez posiadania poświadczeń. Skutkuje to możliwością pełnej manipulacji konfiguracją sieci.
W ramach ataku wykryto framework KeyDrift, który infekuje procesy płaszczyzny sterowania (control-plane). Malware składa się z modułu PolyFlame, pełniącego funkcję backdoora i węzła C2, oraz modułu LittleFilch, którego zadaniem jest automatyczne pozyskiwanie materiału kluczowego, w tym kluczy chroniących ruch w płaszczyźnie danych (data-plane).
Analiza wskazuje na powiązania infrastruktury z siecią Silent Train, wykorzystywaną przez chińską grupę Volt Typhoon do celów szpiegowskich. Ataki wymierzone są w sektory krytyczne, w tym obronność, technologie kosmiczne oraz infrastrukturę telekomunikacyjną. Grupa wykorzystuje łańcuchy przejętych urządzeń IoT i routerów domowych, aby ukryć swoją aktywność i utrudnić wykrycie.
