🔍 Contexte

Cisco Talos a publiĂ© le 28 octobre 2026 une analyse technique dĂ©taillĂ©e portant sur UAT-11473, un acteur APT sophistiquĂ© ayant exploitĂ© CVE-2026-20127, une vulnĂ©rabilitĂ© de contournement d’authentification affectant les instances Cisco SD-WAN Catalyst Controller.

🎯 Ciblage

Les secteurs visés incluent :

  • Services spatiaux et satellitaires
  • DĂ©fense et technologie aĂ©rospatiale
  • Recherche en politique

Talos Ă©value avec haute confiance que l’infrastructure d’UAT-11473 prĂ©sente un chevauchement significatif avec le rĂ©seau d’accĂšs covert “Silent Train” de Volt Typhoon.

đŸ› ïž Framework KeyDrift

KeyDrift est un framework malveillant personnalisé conçu pour opérer dans les environnements Cisco SD-WAN. Il est composé de plusieurs modules :

PolyFlame (libdssl.so)

  • Module rĂ©sident en mĂ©moire, injectĂ© dans les processus vdaemon lĂ©gitimes
  • Interpose les appels socket, DTLS et runtime-linker (recvfrom, sendto, getpeername, dlopen, dlsym, mprotect)
  • Fonctionne comme backdoor de type TinyShell (exĂ©cution de commandes, lecture/Ă©criture de fichiers)
  • Peut agir comme C2 intermĂ©diaire (multiplexeur one-to-many)
  • ImplĂ©mente une vĂ©rification temporelle via MD5 de la date courante avant exĂ©cution
  • Codes de commande : 0x100 (exĂ©cution shell), 0x200 (Ă©criture fichier), 0x300 (lecture fichier), 0x403-0x408 (gestion des pairs C2)

Variante aaamgrd

  • ELF64 liĂ© statiquement, sans section headers, segment RWE unique
  • Payload ELF embarquĂ© chiffrĂ© RC4
  • Utilise des syscalls directs (ptrace, fork, mmap, mprotect)
  • VĂ©rification anti-debug via /proc/%d/status et TracerPid
  • Masquerade du service lĂ©gitime aaamgr

LittleFilch (libcommon.so)

  • Installe un hook sur SSL_read dans vdaemon
  • Extrait les identifiants de session de contrĂŽle et le matĂ©riel de clĂ© IPsec AES-256 du plan de donnĂ©es
  • Chiffre les donnĂ©es collectĂ©es avec RSA et les Ă©crit dans /var/tmp/vdaemon.bin
  • Exfiltre via UDP en format DTLS 1.2
  • Lit sa configuration depuis /var/tmp/vdaemon.conf (supprimĂ© aprĂšs lecture)

Composants auxiliaires

  • rsshd : injecteur ptrace de libdssl.so dans vdaemon
  • conf_sshd : script d’Ă©numĂ©ration des PIDs vdaemon
  • Runit launchers trojanisĂ©s : scripts de service modifiĂ©s sous /etc/sv/sshd/ et /etc/sv/aaamgr/

📋 Techniques MITRE ATT&CK

Les techniques identifiĂ©es incluent l’injection de processus (T1055.008), le dĂ©tournement du linker dynamique (T1574.006), la modification de scripts d’initialisation (T1037), la crĂ©ation de services malveillants (T1543), le masquage de services (T1036.004), l’utilisation de shell Unix (T1059.004), le packing logiciel (T1027.002), les vĂ©rifications systĂšme anti-debug (T1497.001), le timestomping (T1070.006), le sniffing rĂ©seau (T1040) et les canaux chiffrĂ©s (T1573.001).

📌 Type d’article

Il s’agit d’une analyse technique approfondie publiĂ©e par Cisco Talos, visant Ă  documenter les TTPs, composants malveillants et indicateurs associĂ©s Ă  UAT-11473 pour permettre la dĂ©tection et la rĂ©ponse Ă  incident.

🧠 TTPs et IOCs dĂ©tectĂ©s

Acteurs de menace

TTP

  • T1055.008 — Process Injection: Ptrace System Calls (Defense Evasion)
  • T1574.006 — Hijack Execution Flow: Dynamic Linker Hijacking (Persistence)
  • T1037 — Boot or Logon Initialization Scripts (Persistence)
  • T1543 — Create or Modify System Process (Persistence)
  • T1036.004 — Masquerade Task or Service (Defense Evasion)
  • T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
  • T1027.002 — Obfuscated Files or Information: Software Packing (Defense Evasion)
  • T1497.001 — Virtualization/Sandbox Evasion: System Checks (Defense Evasion)
  • T1070.006 — Indicator Removal: Timestomp (Defense Evasion)
  • T1040 — Network Sniffing (Credential Access)
  • T1573.001 — Encrypted Channel: Symmetric Cryptography (Command and Control)

IOC

  • CVEs : CVE-2026-20127 — NVD · CIRCL
  • Fichiers : libdssl.so
  • Fichiers : libcommon.so
  • Fichiers : conf_sshd
  • Fichiers : rsshd
  • Fichiers : aaamgrd
  • Fichiers : vdaemon.bin
  • Fichiers : vdaemon.conf
  • Chemins : /tmp/system-vdaemon
  • Chemins : /var/tmp/vdaemon.bin
  • Chemins : /var/tmp/vdaemon.conf
  • Chemins : /etc/sv/sshd/
  • Chemins : /etc/sv/aaamgr/
  • Chemins : /rootfs.rw

⚠ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 29 octobre 2026 et n’ont pas fait l’objet d’une vĂ©rification externe. Un indicateur peut avoir Ă©tĂ© rĂ©attribuĂ© depuis : une IP de C2 peut redevenir un service lĂ©gitime, un domaine sinkholĂ© peut changer de propriĂ©taire. Aucune garantie d’exactitude ni d’actualitĂ© — contrĂŽlez leur validitĂ© avant tout usage opĂ©rationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • KeyDrift (framework)
  • PolyFlame (backdoor)
  • LittleFilch (other)
  • TinyShell (backdoor)

🟱 Indice de vĂ©rification factuelle : 70/100 (haute)

  • ✅ blog.talosintelligence.com — source reconnue (liste interne) (20pts)
  • ✅ 13745 chars — texte complet (15pts)
  • ✅ 14 IOCs (IPs/domaines/CVEs) (10pts)
  • ⬜ pas d’IOC vĂ©rifiĂ© (0pts)
  • ✅ 11 TTPs MITRE identifiĂ©es (15pts)
  • ⬜ date RSS ou approximĂ©e (0pts)
  • ✅ acteur(s) identifiĂ©(s) : UAT-11473, Volt Typhoon (5pts)
  • ✅ 1/1 CVE(s) confirmĂ©e(s) (CIRCL) (5pts)

🔗 Source originale : https://blog.talosintelligence.com/uat-11473-keydrift/