Talos spojil malvér KeyDrift v Cisco SD-WAN s infraštruktúrou Silent Train
Cisco Talos analyzoval historické zneužitie kritickej chyby CVE-2026-20127 proti platforme Catalyst SD-WAN. Infraštruktúra aktéra UAT-11473 sa podľa neho výrazne prekrýva so sieťou Silent Train, ktorú Lumen pripisuje skupine Volt Typhoon.
Cisco SD-WAN KeyDrift je označenie technického prípadu, v ktorom výskumníci Cisco Talos prepojili historické nasadenie malvéru KeyDrift s infraštruktúrou Silent Train. Talos 28. októbra uviedol, že aktér sledovaný ako UAT-11473 zneužil zraniteľnosť CVE-2026-20127 v komponentoch Cisco Catalyst SD-WAN na obídenie autentifikácie a nasadenie škodlivého rámca.
Talos hodnotí s vysokou mierou istoty, že operačná infraštruktúra UAT-11473 sa výrazne prekrýva s utajenou prístupovou sieťou Silent Train. Výskumný tím Lumen Black Lotus Labs túto sieť pripisuje skupine Volt Typhoon. Nejde však o priame potvrdenie, že UAT-11473 a Volt Typhoon sú totožní aktéri.
Cisco SD-WAN KeyDrift cieli na riadiacu rovinu
KeyDrift podľa Talosu funguje v procesoch riadiacej roviny SD-WAN. Má poskytnúť perzistentný prístup a získať citlivý kľúčový materiál. Jeho súčasťou je backdoor PolyFlame a modul LittleFilch určený na zber a exfiltráciu kľúčov.
Talos opisuje aj krádež kľúčového materiálu z dešifrovanej riadiacej komunikácie. Kompromitácia riadiacej roviny môže útočníkovi poskytnúť privilegovaný prístup a umožniť manipuláciu konfigurácie siete. Pri centralizovaných manažérskych a kontrolných platformách tak môže mať zásah dosah na väčšiu časť podnikovej infraštruktúry.
Zraniteľnosť CVE-2026-20127 má hodnotenie CVSS 10,0. Týka sa produktov Cisco Catalyst SD-WAN Controller, Manager a Validator. Cisco vydalo bezpečnostné opravy, pričom pre chybu neuvádza žiadne náhradné riešenie ani workaround.
Prekryv so Silent Train nie je priama atribúcia
Lumen Black Lotus Labs uvádza, že skupina Volt Typhoon využívala CVE-2026-20127 už koncom roka 2025 a pokračovala v jej zneužívaní aj po zverejnení chyby vo februári 2026. Silent Train Lumen opisuje ako reléovú a prístupovú infraštruktúru používanú pri operáciách tejto skupiny.
Nová analýza Talosu prináša technické prepojenie medzi UAT-11473 a touto infraštruktúrou, nie definitívne stotožnenie aktéra s Volt Typhoon. Aj Lumenovo pripísanie Silent Train predstavuje hodnotenie výskumného tímu spoločnosti, nie verejné atribučné rozhodnutie štátneho orgánu.
Talos zároveň neoznamuje novú prebiehajúcu kampaň proti ďalším obetiam. Ide o zverejnenú technickú analýzu historickej aktivity a jej väzby na už známu sieť.
Opravy a kontrola kompromitácie
Prevádzkovatelia dotknutých komponentov Cisco Catalyst SD-WAN by mali prioritne nasadiť dostupné opravy, keďže výrobca neuvádza alternatívne zmiernenie rizika. Organizácie by zároveň mali preveriť indikátory kompromitácie a forenzne skontrolovať svoje prostredie, najmä systémy riadiacej roviny.
Ďalší vývoj môže priniesť Cisco, CISA alebo iné orgány v podobe nových indikátorov kompromitácie, informácií o rozsahu zneužívania či ďalších obetiach. Dôležité bude aj to, či Talos alebo Lumen zverejnia dôkazy, ktoré presnejšie potvrdia alebo vyvrátia vzťah medzi UAT-11473 a Volt Typhoon.
Zdroje
- Cisco Talos – Talos opisuje zneužitie CVE-2026-20127 aktérom UAT-11473, rámec KeyDrift a vysokú mieru istoty pri prekryve infraštruktúry so Silent Train.
- Cisco Security Advisory – Potvrdzuje závažnosť CVE-2026-20127, zasiahnuté komponenty, dostupnosť opráv a absenciu workaroundu.
- Lumen Black Lotus Labs – Lumen pripisuje Silent Train Volt Typhoon, opisuje jeho reléovú architektúru a uvádza využitie CVE-2026-20127 od konca roka 2025.
- SecurityWeek – Nezávisle sumarizuje nové prepojenie zistení Talosu a Lumen a upozorňuje, že prekryv infraštruktúry nie je priamym stotožnením aktérov.
Overené a aktualizované: 29. 10. 2026 15:26
