Des groupes d'attaque exploitent des failles Cisco pour déployer le malware KeyDrift

Des chercheurs de Cisco Talos ont identifié un groupe de menace avancé, suivi sous le nom de UAT-11473, exploitant CVE-2026-20127, une faille d’authentification à distance dans les contrôleurs Cisco Catalyst SD-WAN. Cette vulnérabilité, classée comme critique (CVSS max), a été corrigée par Cisco en février 2026, mais elle a été utilisée comme zero-day depuis au moins 2023. Les attaques ciblent principalement les services spatiaux et de satellite, les technologies de défense et aérospatiale, ainsi que les organisations de recherche politique.

Le malware KeyDrift : un outil de persistance et d’exfiltration

Le malware KeyDrift, déployé via cette faille, est conçu pour fonctionner sur les instances de contrôleurs SD-WAN Cisco. Selon Cisco Talos, il permet un accès persistant à long terme et une exfiltration automatisée de matériel clé sensible. KeyDrift opère à l’intérieur des processus du plan de contrôle SD-WAN et peut intercepter le trafic contrôlé décrypté, extraire des métadonnées de session et du matériel de clé de données, puis les transmettre de manière sécurisée.

Deux composantes principales : PolyFlame et LittleFilch

KeyDrift comporte deux modules principaux : PolyFlame et LittleFilch. PolyFlame s’exécute à l’intérieur de processus légitimes vdaemon en utilisant des scripts de démarrage modifiés et un injecteur pour le déploiement. Il prend en charge l’exécution de commandes via un composant inspiré de TinyShell, ainsi que le téléchargement et le téléversement de fichiers. LittleFilch, quant à lui, est un module d’interception de session qui accroche SSL_read pour inspecter les messages du plan de contrôle après leur décryptage. Pour certains nœuds edge prédéfinis, il extrait des identifiants IP et un champ de 32 octets évalué comme étant le matériel de clé AES-256 IPsec.

Liens avec Volt Typhoon et le réseau "Silent Train"

Bien que Cisco Talos n’ait pas établi de lien définitif, le rapport indique que le cluster UAT-11473 semble chevaucher le réseau d’accès discret "Silent Train" de Volt Typhoon, un groupe d’attaque lié à la Chine. Un rapport de Lumen, publié récemment, a montré que ce réseau permettait à Volt Typhoon d’éviter la détection lors d’attaques utilisant des zero-days. Les deux sources indépendantes confirment la nature sophistiquée et persistante de ces opérations.

Deuxième faille zero-day chez Cisco

Parallèlement, SecurityWeek rapporte l’exploitation d’une deuxième faille zero-day chez Cisco, cette fois dans le service Remote Access SSL VPN des pare-feux Secure Firewall ASA et FTD. Identifiée comme CVE-2026-76418 (CVSS 8,6), elle permet aux attaquants non authentifiés de forcer un redémarrage à distance du dispositif, perturbant ainsi sa disponibilité. Cisco a publié des correctifs et recommande aux administrateurs d’appliquer immédiatement les mises à jour disponibles.

Recommandations de sécurité

Cisco conseille aux administrateurs système d’appliquer les correctifs de sécurité pour CVE-2026-20127 et de consulter le guide de durcissement dédié aux déploiements Catalyst SD-WAN. Les deux failles soulignent la nécessité d’une gestion rigoureuse des correctifs et d’une surveillance continue des activités suspectes sur les infrastructures critiques.