Hackers explotan una vulnerabilidad de Cisco SD-WAN para desplegar KeyDrift

29 de octubre de 2026. El grupo de amenazas persistentes avanzadas UAT-11473 explotó CVE-2026-20127, una vulnerabilidad crítica de bypass de autenticación en Cisco Catalyst SD-WAN Controllers, para desplegar el framework de malware personalizado KeyDrift. Cisco corrigió el fallo en febrero de 2026.

La vulnerabilidad permite a atacantes remotos obtener acceso privilegiado a Catalyst SD-WAN Controller y Manager, además de añadir pares no autorizados. Cisco Talos observó que los ataques afectaron a servicios espaciales y satelitales, tecnología de defensa y aeroespacial, y organizaciones dedicadas a la investigación de políticas.

KeyDrift opera dentro de procesos del plano de control de SD-WAN y puede interceptar tráfico de control descifrado, extraer metadatos de las sesiones y material criptográfico del plano de datos, y transmitir la información mediante registros cifrados. Talos evalúa con alta confianza que el framework está diseñado para mantener el acceso persistente y automatizar la exfiltración de material sensible.

El malware incorpora dos componentes principales: PolyFlame y LittleFilch. PolyFlame se ejecuta dentro de procesos legítimos vdaemon y permite ejecutar comandos, subir y descargar archivos, y retransmitir comunicaciones entre el servidor de mando y control de los atacantes y varios pares. LittleFilch intercepta sesiones de control mediante un enlace sobre SSL_read y extrae identificadores IP y un campo de 32 bytes que Talos considera material de claves AES-256 IPsec del plano de datos.

LittleFilch cifra la información recopilada mediante RSA, la almacena en /var/tmp/vdaemon.bin y la transmite por UDP. Los investigadores también detectaron indicios de desarrollo continuo, incluidos nuevos mecanismos antidepuración y variaciones en la suplantación de procesos.

Cisco Talos señaló que UAT-11473 parece solaparse con la red de acceso encubierto Silent Train asociada a Volt Typhoon, aunque no estableció vínculos definitivos. Cisco recomienda aplicar las actualizaciones de seguridad disponibles para CVE-2026-20127 y consultar su guía específica de hardening para despliegues de Catalyst SD-WAN.

Fuente: BleepingComputer.