---
title: Piratas informáticos aprovecharon un fallo de Cisco SD-WAN para implantar malware que roba claves de cifrado
url: https://www.dataloco.com/es/piratas-informaticos-aprovecharon-un-fallo-de-cisco-sd-wan-para-implantar-malware-que-roba-claves-de-cifrado
published: 2026-11-01T08:23:05+00:00
language: es
section: Seguridad
source: https://thehackernews.com/2026/10/hackers-exploited-cisco-sd-wan-flaw-to.html
organizations: Cisco, Cisco Talos, Lumen, CISA, NSA, FBI
publisher: Dataloco
---

# Piratas informáticos aprovecharon un fallo de Cisco SD-WAN para implantar malware que roba claves de cifrado

Piratas informáticos utilizaron una vulnerabilidad crítica en Cisco Catalyst SD-WAN para instalar un malware personalizado en los sistemas que controlan la red SD-WAN de una organización.

El malware, denominado KeyDrift, está diseñado para copiar las claves que cifran el tráfico entre sitios y almacenarlas para su uso posterior, según informó Cisco Talos el 28 de octubre. Talos describe los ataques como históricos, aunque no especifica en qué momento ocurrieron ni si se enviaron claves.

El fallo, identificado como CVE-2026-20127, posee una puntuación CVSS de 10.0. Esta vulnerabilidad permite que un atacante remoto no autenticado evite la autenticación y obtenga privilegios administrativos en los sistemas de control. En un controlador, el atacante puede iniciar sesión con una cuenta interna de altos privilegios que no es la de root.

Cisco reveló el fallo en febrero, y Talos rastreó su explotación bajo la etiqueta UAT-8616, un grupo de actividad que se remonta al menos a 2023. El fallo afecta al controlador, al gestor y al validador de Catalyst SD-WAN, independientemente de su configuración, incluyendo los sistemas locales y los despliegues en la nube de Cisco, como los entornos FedRAMP y Cisco Managed.

El funcionamiento de KeyDrift implica un componente llamado LittleFilch que se conecta a vdaemon, el proceso que ejecuta las conexiones de control cifradas. LittleFilch lee los mensajes de control después de ser descifrados, extrae direcciones IP y un campo de 32 bytes que Talos identifica como material de claves AES-256. Estos datos se cifran con RSA y se escriben en un archivo para ser enviados posteriormente a través de UDP.

El grupo responsable de KeyDrift, rastreado como UAT-11473, ha atacado la investigación de políticas, la tecnología aeroespacial y de defensa, y los servicios espaciales y satelitales. Talos indica que la infraestructura de este grupo se solapa considerablemente con Silent Train, una red de dispositivos IoT y de oficina hackeados. Lumen afirma que Volt Typhoon, un grupo ciberespía patrocinado por el estado chino según CISA, la NSA y el FBI, utilizó dicha red para ocultar su actividad.

Lumen señaló que Volt Typhoon explotó el CVE-2026-20127 a finales de 2025 y continuó haciéndolo después de la divulgación de febrero, aunque no vinculó esta actividad con KeyDrift. Por su parte, KeyDrift se inicia principalmente mediante scripts de runit modificados. Un módulo llamado PolyFlame se inyecta en los procesos de vdaemon y puede actuar como una puerta trasera para ejecutar comandos o como un relé.

Cisco indica que existen versiones corregidas, aunque algunas ramas antiguas ya no tienen mantenimiento de software. Para los clientes locales que no pueden actualizar, se sugiere limitar el acceso a los puertos 22 y 830 a direcciones IP conocidas, aunque esto no elimina el malware ya presente. Talos recomienda instalar las correcciones y seguir la guía de endurecimiento de Cisco Catalyst SD-WAN.

## This story in other languages

- [日本語](https://www.dataloco.com/ja/cisco-sd-wan)
- [한국어](https://www.dataloco.com/ko/cisco-sd-wan)
- [हिन्दी](https://www.dataloco.com/hi/saibra-aparathhaya-na-sasaka-ka-gabhara-sarakashha-thashha-ka-upayaga-karaka-enakarapashana-ka-kajaya-carana-ka-le-malvayara-lgaii)
- [Türkçe](https://www.dataloco.com/tr/saldirganlar-sifreleme-anahtarlarini-calmak-icin-cisco-sd-wan-acigini-kullandi)
- [Русский](https://www.dataloco.com/ru/xakery-ispolzovali-uiazvimost-cisco-sd-wan-dlia-ustanovki-vredonosnogo-po-dlia-krazi-kliucei-sifrovaniia)
- [עברית](https://www.dataloco.com/he/cisco-sd-wan-2)
- [العربية](https://www.dataloco.com/ar/mkhtrkon-astghloa-thghr-fy-cisco-sd-wan-lzraa-brmgyat-khbyth-tsrk-mfatyh-altshfyr)
- [Indonesia](https://www.dataloco.com/id/peretas-manfaatkan-celah-cisco-sd-wan-untuk-menanam-perangkat-lunak-berbahaya-pencuri-kunci-enkripsi)
- [ไทย](https://www.dataloco.com/th/cisco-sd-wan)
- [Deutsch](https://www.dataloco.com/de/schadsoftware-keydrift-stiehlt-verschlusselungsschlussel-uber-cisco-schwachstelle)
- [Italiano](https://www.dataloco.com/it/hacker-sfruttano-una-falla-di-cisco-sd-wan-per-installare-malware-volto-al-furto-di-chiavi-di-crittografia)
- [Nederlands](https://www.dataloco.com/nl/hackers-gebruikten-cisco-sd-wan-lek-om-malware-voor-encryptiesleutels-te-plaatsen)
- [Svenska](https://www.dataloco.com/sv/hackare-utnyttjade-kritisk-sarbarhet-i-cisco-sd-wan-for-att-stjala-krypteringsnycklar)