Seguridad · 1 de noviembre de 2026
También publicado en 日本語, 한국어, हिन्दी, Türkçe, Русский, עברית, العربية, Indonesia, ไทย, Deutsch, Italiano, Nederlands, Svenska, Français, Polski, Norsk
Hackers explotan un fallo de Cisco SD-WAN para desplegar el malware KeyDrift
Un grupo de amenaza persistente avanzada identificado como UAT-11473 ha explotado una vulnerabilidad de omisión de autenticación en los controladores Cisco Catalyst SD-WAN para desplegar un marco de malware personalizado llamado KeyDrift.
El fallo, catalogado como CVE-2026-20127, posee una severidad máxima y permite que atacantes remotos obtengan acceso privilegiado al controlador y al gestor de Catalyst SD-WAN, además de añadir pares no autorizados. Cisco solucionó este problema en febrero de 2026, aunque el grupo UAT-8616 lo habría explotado como un día cero desde al menos 2023. Investigaciones recientes también han vinculado esta explotación con el grupo de hacking patrocinado por el estado chino, Volt Typhoon.
Los investigadores de Cisco Talos señalan que el grupo UAT-11473 parece solaparse con la red de acceso encubierta Silent Train de Volt Typhoon, aunque no han establecido vínculos definitivos. Por su parte, Lumen informó que el marco Silent Train permitió a Volt Typhoon evadir la detección mientras realizaba ataques de vulnerabilidades de día cero.
Los ataques observados se dirigieron a organizaciones de investigación de políticas, tecnología aeroespacial y de defensa, así como a servicios espaciales y de satélites. El malware KeyDrift está diseñado para operar en instancias del controlador Cisco SD-WAN con el fin de proporcionar acceso persistente a largo plazo y exfiltración automatizada de material de claves sensible.
KeyDrift funciona dentro de los procesos del plano de control de SD-WAN y puede interceptar el tráfico de control descifrado, extraer metadatos de sesiones de control y material de claves del plano de datos. El sistema utiliza registros cifrados para transmitir el material recolectado.
El marco consta de dos componentes principales. PolyFlame se ejecuta dentro de procesos vdaemon legítimos mediante scripts de inicio de servicio modificados y un inyector, permitiendo la ejecución de comandos, la carga y descarga de archivos, y la comunicación entre el servidor de mando y control del atacante y múltiples pares. LittleFilch es un módulo de interceptación de sesiones de control que inspecciona los mensajes después de ser descifrados. Este componente extrae identificadores de IP y un campo de 32 bytes que Cisco Talos evalúa como material de claves de plano de datos IPsec AES-256. La información se protege con cifrado RSA, se guarda en el directorio /var/tmp/vdaemon.bin y se transmite a los atacantes a través de UDP.
Cisco recomienda a los administradores de sistemas aplicar las actualizaciones de seguridad disponibles para CVE-2026-20127 y consultar la guía de endurecimiento dedicada para despliegues de Catalyst SD-WAN.