Хакеры из группы UAT-11473 взламывали контроллеры Cisco Catalyst SD-WAN через критическую уязвимость и устанавливали внутрь сетевых процессов вредоносный комплекс KeyDrift. Вредонос получает доступ к уже расшифрованному служебному трафику и может вытаскивать из него криптографические ключи. Атаки затронули организации из космической и спутниковой отрасли, оборонного и аэрокосмического сектора, а также структуры, которые занимаются анализом государственной политики.
Точкой входа стала CVE-2026-20127 с максимальной оценкой 10 баллов из 10 по шкале CVSS. Ошибка в механизме аутентификации позволяет удалённому атакующему без учётной записи получить административные права на уязвимом контроллере. Cisco закрыла брешь ещё в феврале 2026 года, но позже подтвердила ограниченное число реальных атак. Обходного решения нет, поэтому компания рекомендует перейти на исправленную версию ПО.
SD-WAN управляет соединениями между филиалами, дата-центрами и другими частями распределённой сети. Контроллер знает маршруты, сетевые политики и параметры соединений, поэтому захват такого узла даёт атакующему куда больше возможностей, чем заражение обычного рабочего компьютера. Создатели KeyDrift пошли ещё глубже и внедрили код непосредственно в процессы, через которые контроллер обрабатывает служебный трафик.
Главный компонент PolyFlame загружается в работающий процесс vdaemon и остаётся в памяти. После внедрения вредонос видит состояние управляющих соединений, маршруты, топологию сети и ключи сеансов. Операторы могут выполнять команды, читать и записывать файлы, а заражённый контроллер способен пересылать команды другим узлам. В изученных образцах специалисты не нашли жёстко заданного адреса управляющего сервера: команды можно передавать внутри обычного служебного трафика Cisco SD-WAN, что заметно усложняет поиск вредоноса по сетевым признакам.
За кражу ключей отвечает отдельный модуль LittleFilch. Программа перехватывает данные внутри vdaemon после того, как система уже расшифровала защищённое соединение, и ищет нужные поля в служебных сообщениях. Среди найденных значений специалисты обнаружили 32-байтные блоки, которые с высокой уверенностью считают ключевым материалом AES-256 для IPsec. Такие ключи SD-WAN использует для защиты трафика между сетевыми узлами.
Собранную информацию LittleFilch шифрует RSA и сохраняет во временный файл, после чего данные можно отправить наружу по UDP. Исследователи не утверждают, что UAT-11473 уже расшифровывала с помощью похищенных ключей пользовательский трафик. Подтверждённая возможность KeyDrift пока ограничивается перехватом служебных соединений, извлечением ключевого материала и подготовкой данных к отправке злоумышленникам.
Скрытность KeyDrift строится не только на работе внутри легитимных процессов. Один из вариантов маскируется под штатную службу aaamgr, проверяет, не запущен ли отладчик, и прячет основную полезную нагрузку внутри зашифрованного файла. Другие компоненты меняют сценарии запуска системных служб, чтобы вредонос снова появлялся после перезапуска. Набор разных вариантов и способов установки показывает, что разработчики продолжают дорабатывать комплекс.
Отдельный след ведёт к инфраструктуре Silent Train. Специалисты Talos с высокой уверенностью обнаружили значительное пересечение между серверами и сетевыми узлами UAT-11473 и этой скрытой сетью. Lumen относит Silent Train к операциям китайской группировки Volt Typhoon, которая прокладывает цепочки через взломанные маршрутизаторы, устройства интернета вещей и корпоративные системы, чтобы скрывать настоящий источник атак.
Silent Train за последние три года использовали против телекоммуникационных компаний, госструктур, оборонных подрядчиков, спутниковой связи и критической инфраструктуры. Lumen также обнаружила, что операторы Volt Typhoon эксплуатировали CVE-2026-20127 против Cisco Catalyst SD-WAN ещё в конце 2025 года. Однако совпадение инфраструктуры и уязвимости не доказывает, что UAT-11473 и Volt Typhoon работают как одна группа. Talos такого вывода не делает и продолжает отслеживать UAT-11473 отдельно.
Cisco советует владельцам Catalyst SD-WAN не ограничиваться установкой патча. Компания рекомендует закрыть управляющие компоненты от прямого доступа из интернета, разрешить соединения только с доверенных узлов и проверить журналы на неожиданный трафик. Если KeyDrift уже проник в контроллер, одного обновления недостаточно: администраторам придётся искать следы постороннего доступа и проверять, какие изменения злоумышленники успели внести в сеть.