Cisco Talos 28 октября раскрыла устройство KeyDrift — вредоносного комплекса, найденного в контроллерах корпоративных сетей Cisco SD-WAN. Он внедрялся в штатные процессы управления сетью и извлекал из служебного обмена материал, который исследователи определили как ключи шифрования IPsec. Среди целей Talos называет спутниковые и аэрокосмические организации, оборонные компании и исследовательские центры.

Компонент LittleFilch перехватывал служебные сообщения после их расшифровки внутри контроллера, выбирал данные определённых сетевых узлов и сохранял найденное в зашифрованном виде для вывода наружу. Другой компонент, PolyFlame, обеспечивал выполнение команд и передачу управления через штатный сетевой обмен. Так атака добиралась до секретов внутри доверенного процесса; взлом самого алгоритма шифрования для этого не требовался.

Первоначальный доступ Talos связывает с CVE-2026-20127 — обходом проверки подлинности, позволяющим получить административные права. Уведомление Cisco впервые вышло 25 февраля; исправления уже доступны. Октябрьский повод — разбор действий после проникновения, а не выпуск нового патча.

Talos с высокой уверенностью отмечает значительное пересечение инфраструктуры атакующего UAT-11473 с Silent Train, о которой мы писали ранее. Предыдущий разбор объяснял временные маршруты через взломанные устройства; KeyDrift показывает, зачем атакующим доступ к сетевому управлению. Точное число пострадавших и объём прочитанного пользовательского трафика в отчёте не установлены. Наличие исправления также не подтверждает очистку уже заражённых контроллеров.