تحقیقات اخیر نشان می‌دهد که یک عامل تهدید پیشرفته (APT) با نام UAT-11473، از آسیب‌پذیری احراز هویت CVE-2026-20127 در کنترلرهای Cisco SD-WAN Catalyst برای دسترسی غیرمجاز به سیستم‌ها بهره‌برداری می‌کند. این مهاجم پس از نفوذ، یک چارچوب بدافزاری سفارشی به نام KeyDrift را مستقر می‌کند که هدف اصلی آن جمع‌آوری اطلاعات حساس کلیدهای رمزنگاری و ایجاد دسترسی‌های پشتی (Backdoor) است.
ساختار بدافزار KeyDrift
این چارچوب از چندین ماژول تخصصی تشکیل شده است که برای عملیات در سطح Control-plane طراحی شده‌اند:
- PolyFlame: یک ماژول مقیم در حافظه (Memory-resident) که از طریق مسیرهای سرویس
runitتزریق می‌شود. این ماژول در فرآیندهایvdaemonتزریق شده و با مداخله در رفتارهایsocketوDTLS، امکان اجرای دستورات و عمل به عنوان یک C2 واسط را فراهم می‌کند. - LittleFilch: ماژولی برای شنود ترافیک که با استفاده از تکنیک
SSL_read hook، داده‌های رمزگشایی شده را بررسی کرده و کلیدهای رمزنگاری AES-256 IPsec را استخراج و سرقت می‌کند.
تکنیک‌های پیشرفته و هدف‌گیری
عامل UAT-11473 با تمرکز بر بخش‌های حساس از جمله خدمات ماهواره‌ای، فناوری‌های دفاعی و هوافضا فعالیت می‌کند. تحلیل‌ها نشان می‌دهد که زیرساخت عملیاتی این گروه شباهت‌های قابل توجهی با شبکه دسترسی مخفی Silent Train متعلق به گروه Volt Typhoon دارد. این مهاجم از تکنیک‌های پیچیده‌ای نظیر Process Injection (تزریق فرآیند) و Dynamic Linker Hijacking برای پنهان ماندن در محیط‌های شبکه استفاده می‌کند.
توصیه‌های امنیتی
سازمان‌ها باید فوراً وصله‌های امنیتی مربوط به CVE-2026-20127 را اعمال کنند. همچنین توصیه می‌شود فرآیندهای مانیتورینگ خود را برای شناسایی فعالیت‌های مشکوک پس از نفوذ (Post-compromise) در محیط‌های SD-WAN تقویت کرده و پروتکل‌های پاسخ به حادثه (Incident Response) را آماده نگه دارند.
