Cisco Talos полагает, что вредоносное ПО для кражи ключей Cisco SD-WAN пересекается с инфраструктурой, частично совпадающей с сетью Silent Train от китайской Volt Typhoon. В среду Cisco Talos заметила, что злоумышленник, чья инфраструктура пересекается с тайной сетью Volt Typhoon, воспользовался критической уязвимостью в сети Cisco SD-WAN для развертывания зловреда, предназначенного для сбора ключей шифрования. В тот же день принадлежащая Lumen Black Lotus Labs опубликовала исследование Silent Train, которую Volt Typhoon использовала для атак на организации в США, в том числе в рамках 0-day кампании, использующей ту же уязвимость Cisco. CVE-2026-20127 имеет оценку CVSS 10 и была обнаружена в феврале 2026 года. Злоумышленники могут использовать её удалённо, без необходимости ввода учётных данных, чтобы обойти аутентификацию пиринговых соединений компонентов контроллера SD-WAN и получить права администратора. Cisco предупреждает, что этот доступ может быть использован для изменения конфигурации сети SD-WAN. Cisco Talos приписывает атаки группировке UAT-11473, которую описывает как высокотехнологичную APT, нацеленную на аэрокосмический сектор и оборонные технологии, а также на исследования в области политики. По данным исследователей, вредоносная ПО под названием KeyDrift была разработана для предоставления операторам постоянного доступа к контроллерам SD-WAN и автоматического перехвата ключевого материала. Она внедряется в легитимные процессы плоскости управления, предоставляя им доступ к управляющему трафику после его расшифровки. Ее основной модуль, PolyFlame, работает как бэкдор и может также передавать команды другим хостам в качестве промежуточного узла C2. Второй модуль, LittleFilch, собирает ключевой материал, который, по мнению Talos, включает ключи, защищающие трафик на уровне данных. Talos с высокой степенью уверенности охарактеризовала инфраструктуру UAT-11473 как «значительно совпадающую с сетью скрытого доступа Volt Typhoon Silent Train. Однако при этом не говорится, что это одна и та же группа. Black Lotus Labs отслеживает Silent Train с конца 2023 года. Это, по сути, ретрансляционная инфраструктура, состоящая из скомпрометированных устройств, которую APT использует для сокрытия источника своих атак. По словам исследователей, развертывание Silent Train было частично обусловлено тем, что ФБР в своем время нейтрализовала KV-Botnet, ботнет, который группировка использовал при атаках на критически важную инфраструктуру в США. Телеметрия Lumen позволила выявить как минимум четыре подтвержденные 0-day кампании нулевого дня, нацеленные на Versa Director, N-able N-central, Cisco Catalyst SD-WAN и VeloCloud Orchestrator, а также вероятную кампанию - Quest KACE. По данным Lumen, группа Volt Typhoon задействовала CVE-2026-20127 уже к концу 2025 года и продолжала это делать ещё длительное время после того, как Cisco раскрыла информацию. Использование злоумышленниками технологии Silent Train включает в себя эксплуатацию уязвимостей, кражу учетных данных, утечку данных и поддержание постоянного удаленного доступа к скомпрометированным системам. В числе пострадавших - телеком, госучреждения, оборонные подрядчики, поставщики спутниковой и критически важной связи, поставщики управляемых ИТ-услуг, НИИ и операторы критической инфраструктуры. Наибольший ущерб был нанесен Гавайям, Калифорнии и Техасу. По словам исследователей Lumen, тактика атаки указывает на попытку закрепиться в системах, которые имели бы важное значение во время геополитического кризиса, особенно в Индо-Тихоокеанском регионе. В целом, Silent Train предназначалась только для особо важных целей. Вместе с тем, в отчете Lumen не упоминаются KeyDrift или UAT-11473.