Hackers explotan una vulnerabilidad de Cisco SD-WAN para desplegar el malware KeyDrift

Un grupo de amenaza persistente avanzada (APT) recién identificado, denominado UAT-11473, fue detectado explotando CVE-2026-20127, una vulnerabilidad de omisión de autenticación en los controladores Cisco Catalyst SD-WAN, con el objetivo de desplegar un framework de malware a medida llamado KeyDrift.

CVE-2026-20127 es una falla de severidad máxima que Cisco corrigió en febrero de 2026. Permite a atacantes remotos obtener acceso privilegiado al Controlador y al Gestor de Catalyst SD-WAN y añadir peers no autorizados.

El grupo UAT-8616 ha explotado esta vulnerabilidad como zero-day al menos desde 2023, y otras investigaciones recientes vincularon su explotación con el grupo de hackers patrocinado por el Estado chino Volt Typhoon. Los investigadores de Cisco Talos que informaron sobre la actividad señalan que el clúster UAT-11473 parece solaparse con la red de acceso encubierta "Silent Train" de Volt Typhoon, aunque no establecieron vínculos definitivos. En un informe publicado ayer por Lumen, los investigadores revelaron que el framework Silent Train permitió a Volt Typhoon evadir la detección mientras realizaba ataques con vulnerabilidades zero-day.

Despliegue de KeyDrift

Los ataques observados por Cisco se dirigieron a servicios espaciales y satelitales, a tecnología de defensa y aeroespacial, y a organizaciones de investigación de políticas, utilizando el malware KeyDrift, un framework diseñado para operar en instancias de controlador SD-WAN de Cisco.

Talos evalúa con alta confianza que el framework está diseñado para proporcionar acceso persistente a largo plazo y exfiltración automatizada de material criptográfico sensible.

KeyDrift opera dentro de los procesos del plano de control de SD-WAN y es capaz de interceptar tráfico de control descifrado, extraer metadatos de sesiones de control y material de clave del plano de datos, y preparar o transmitir el material recolectado mediante registros cifrados.

KeyDrift tiene dos componentes principales, PolyFlame y LittleFilch, en los que Talos observó señales de desarrollo continuo, incluidos nuevos mecanismos antidepuración y diversas técnicas de suplantación de procesos. PolyFlame se ejecuta dentro de procesos legítimos vdaemon usando scripts de inicio de servicio modificados y un inyector para su despliegue. Admite ejecución de comandos mediante un componente tipo TinyShell, subida y descarga de archivos, y retransmisión de comunicaciones entre un servidor de mando y control (C2) del atacante y múltiples peers.

LittleFilch es un módulo de intercepción de sesiones de control que engancha SSL_read para inspeccionar mensajes del plano de control una vez descifrados dentro del controlador. Para nodos de borde predefinidos, extrae identificadores IP y un campo de 32 bytes que Talos evalúa como material de clave del plano de datos IPsec con AES-256. Utiliza cifrado RSA para proteger la información recolectada, la guarda en /var/tmp/vdaemon.bin y luego la transmite por UDP a los atacantes.

Talos cree con alta confianza que KeyDrift está diseñado para mantener acceso persistente a los controladores SD-WAN de Cisco, interceptar tráfico del plano de control, extraer claves criptográficas y preparar o exfiltrar de forma segura los datos robados. Cisco recomienda a los administradores de sistemas aplicar las actualizaciones de seguridad disponibles para CVE-2026-20127 y consultar la guía de endurecimiento específica del proveedor para despliegues de Catalyst SD-WAN.