Hackers usan una vulnerabilidad de Cisco SD-WAN para desplegar el malware KeyDrift

Un grupo de amenazas identificado como UAT-11473 explotó CVE-2026-20127, una vulnerabilidad de omisión de autenticación en Cisco Catalyst SD-WAN Controllers, para desplegar KeyDrift, un marco de malware personalizado, según investigadores de Cisco Talos. Los investigadores indicaron que la actividad se dirigió a servicios espaciales y satelitales, tecnología de defensa y aeroespacial, y organizaciones de investigación sobre políticas públicas.

Cisco corrigió CVE-2026-20127 en febrero de 2026. La vulnerabilidad puede permitir que atacantes remotos obtengan acceso privilegiado a Catalyst SD-WAN Controller y Manager y añadan pares fraudulentos. Según la fuente, UAT-8616 explotaba la vulnerabilidad como una vulnerabilidad de día cero desde al menos 2023. Cisco Talos dijo que UAT-11473 parece coincidir parcialmente con la red de acceso encubierto «Silent Train» de Volt Typhoon, pero no estableció un vínculo definitivo.

Talos considera con un alto grado de confianza que KeyDrift está diseñado para mantener el acceso y extraer automáticamente material criptográfico confidencial. Opera dentro de procesos del plano de control de SD-WAN y puede inspeccionar tráfico de control descifrado, recopilar metadatos de sesiones y claves del plano de datos, y almacenar o transmitir el material mediante registros cifrados.

El marco tiene dos componentes: PolyFlame y LittleFilch. PolyFlame se ejecuta dentro de procesos vdaemon legítimos y permite ejecutar comandos, transferir archivos y retransmitir comunicaciones entre el servidor de mando y control del atacante y varios pares. LittleFilch intercepta SSL_read para inspeccionar mensajes del plano de control después de descifrarlos. En nodos de borde predefinidos, extrae identificadores IP y un campo de 32 bytes que Talos considera material de claves AES-256 IPsec del plano de datos. Protege la información recopilada con cifrado RSA, la guarda en /var/tmp/vdaemon.bin y la transmite por UDP.

Cisco recomienda instalar las actualizaciones de seguridad disponibles para CVE-2026-20127 y consultar su guía de refuerzo para implementaciones de Catalyst SD-WAN.