Exploitation d'une faille critique dans les contrôleurs Cisco Catalyst SD-WAN

Un groupe de menace persistante avancée, identifié sous la désignation UAT-11473, a été observé en train d'exploiter la faille CVE-2026-20127 pour déployer un logiciel malveillant sur mesure nommé KeyDrift. Cette vulnérabilité, qui permet de contourner l'authentification, affecte les contrôleurs Cisco Catalyst SD-WAN et a été corrigée par le fabricant en février 2026. Les chercheurs de Cisco Talos ont analysé cette activité et ont déterminé que le groupe cible spécifiquement les organisations liées aux services spatiaux et satellitaires, à la technologie de défense et aérospatiale, ainsi que les instituts de recherche en politiques publiques. L'objectif principal de cette campagne est d'obtenir un accès privilégié durable et d'extraire des données sensibles. La faille CVE-2026-20127 est classée avec une sévérité maximale. Elle permet à des attaquants distants d'accéder aux contrôleurs et gestionnaires Catalyst SD-WAN et d'ajouter des pairs non autorisés. Bien que la faille ait été corrigée en 2026, des recherches récentes indiquent qu'elle a été exploitée en tant que vulnérabilité zéro-jour depuis au moins 2023 par un autre groupe, UAT-8616. Des liens ont également été établis entre cette exploitation et le groupe Volt Typhoon, soutenu par l'État chinois.

Les chercheurs de Cisco Talos estiment avec une forte confiance que le cluster de menaces UAT-11473 chevauche le réseau d'accès clandestin « Silent Train » de Volt Typhoon, sans toutefois affirmer de lien définitif entre les deux entités. Un rapport publié par Lumen a révélé que ce cadre Silent Train permettait à Volt Typhoon d'échapper à la détection tout en menant des attaques par vulnérabilités zéro-jour. Le logiciel malveillant KeyDrift est conçu pour fonctionner sur les instances de contrôleurs Cisco SD-WAN. Il opère à l'intérieur des processus du plan de contrôle et est capable d'intercepter le trafic de contrôle chiffré. Il extrait les métadonnées des sessions de contrôle ainsi que les matériaux de chiffrement du plan de données. Les données collectées sont ensuite stockées ou transmises à l'aide d'enregistrements chiffrés. KeyDrift se compose de deux composants principaux : PolyFlame et LittleFilch. Talos a observé des signes de développement continu, incluant de nouveaux mécanismes anti-débogage et une imitation variée des processus. PolyFlame s'exécute à l'intérieur de processus vdaemon légitimes en utilisant des scripts de démarrage de service modifiés et un injecteur pour le déploiement.