Sicurezza · 1 novembre 2026
Pubblicato anche in 日本語, 한국어, हिन्दी, Türkçe, Русский, עברית, العربية, Indonesia, ไทย, Deutsch, Español, Nederlands, Svenska, Français, Polski, Norsk
Hacker sfruttano falla di Cisco SD-WAN per distribuire malware KeyDrift
Un gruppo di minacce persistenti avanzate, identificato come UAT-11473, ha sfruttato una vulnerabilità di bypass dell'autenticazione nei controller Cisco Catalyst SD-WAN per installare un framework di malware personalizzato chiamato KeyDrift.
La falla, catalogata come CVE-2026-20127, è classificata con severità massima. Tale vulnerabilità permette ad aggressori remoti di ottenere l'accesso privilegiato al manager e al controller Catalyst SD-WAN, consentendo l'aggiunta di peer non autorizzati. Cisco ha rilasciato una correzione per questo problema nel febbraio 2026.
Secondo i ricercatori di Cisco Talos, il gruppo UAT-11473 sembra sovrapporsi alla rete di accesso covert Silent Train, utilizzata dal gruppo di hacker sponsorizzato dallo stato cinese Volt Typhoon. Altri dati indicano che l'entità UAT-8616 ha sfruttato questa vulnerabilità come zero-day a partire almeno dal 2023. Ricerche condotte da Lumen hanno rivelato che il framework Silent Train ha permesso a Volt Typhoon di evitare il rilevamento durante gli attacchi.
Le operazioni osservate hanno preso di mira organizzazioni di ricerca politica, tecnologia aerospaziale e difesa, oltre a servizi spaziali e satellitari. Il malware KeyDrift è progettato per operare all'interno delle istanze del controller Cisco SD-WAN per garantire l'accesso persistente a lungo termine e l'esfiltrazione automatizzata di materiale di chiavi sensibili.
Il framework KeyDrift opera nei processi del piano di controllo SD-WAN, intercettando il traffico di controllo decriptato ed estraendo metadati della sessione e materiale di chiavi del piano dati. Esso è composto da due elementi principali: PolyFlame e LittleFilch. PolyFlame viene eseguito all'interno di processi vdaemon legittimi, supportando l'esecuzione di comandi, il caricamento e lo scaricamento di file e il rilancio delle comunicazioni tra il server di comando e controllo dell'attaccante e più peer.
LittleFilch funge da modulo di intercettazione delle sessioni di controllo, ispezionando i messaggi dopo la decriptazione. Per nodi edge predefiniti, estrae identificatori IP e un campo di 32 byte, valutato come materiale di chiavi IPsec AES-256 del piano dati. Queste informazioni vengono protette tramite crittografia RSA, salvate in un file locale e trasmesse agli aggressori via UDP.
Cisco raccomanda agli amministratori di sistema di applicare gli aggiornamenti di sicurezza per la vulnerabilità CVE-2026-20127 e di consultare la guida dedicata al rafforzamento per le implementazioni Catalyst SD-WAN.