Grupo de ameaça explora falha crítica em controladores Cisco para implantar malware personalizado

a sign in the grass — Robin Jonathan Deutsch / Unsplash

Um grupo de ameaça persistente avançado, rastreado como UAT-11473, explorou uma falha de contorno de autenticação em controladores Cisco Catalyst SD-WAN para implantar um framework de malware personalizado chamado KeyDrift. O grupo utilizou a vulnerabilidade para ganhar acesso privilegiado e adicionar pares não autorizados aos sistemas de rede das organizações alvo.

A falha, identificada como CVE-2026-20127, é classificada como de severidade máxima. A Cisco corrigiu o problema em fevereiro de 2026. A vulnerabilidade permite que atacantes remotos obtenham acesso privilegiado ao Controlador e ao Gerenciador do Catalyst SD-WAN. Isso possibilita a adição de pares falsos à infraestrutura de rede. Pesquisas recentes vincularam a exploração dessa vulnerabilidade ao grupo de hackers patrocinado pelo estado chinês, conhecido como Volt Typhoon. Outro grupo, o UAT-8616, explorou a falha como um dia zero desde pelo menos 2023.

Pesquisadores da Cisco Talos relataram que o cluster de ameaças UAT-11473 parece sobrepor-se à rede de acesso oculta Silent Train, associada ao Volt Typhoon. No entanto, os analistas não estabeleceram ligações definitivas entre os grupos. Um relatório da Lumen divulgado recentemente revelou que o framework Silent Train permitiu ao Volt Typhoon evitar a detecção enquanto realizava ataques de vulnerabilidade de dia zero. Os ataques observados pela Cisco visaram serviços espaciais e de satélite, tecnologia de defesa e aeroespacial, e organizações de pesquisa de políticas.

O malware KeyDrift é um framework personalizado projetado para operar em instâncias de controladores Cisco SD-WAN. A Cisco Talos avalia com alta confiança que o framework foi projetado para fornecer acesso persistente de longo prazo e exfiltração automatizada de material de chaveamento sensível. O KeyDrift opera dentro dos processos do plano de controle do SD-WAN. Ele é capaz de interceptar tráfego de controle descriptografado, extrair metadados de sessões de controle e material de chaveamento do plano de dados, e organizar ou transmitir o material coletado usando registros criptografados.

O KeyDrift possui dois componentes principais: PolyFlame e LittleFilch. A Talos observou sinais de desenvolvimento contínuo, incluindo novos mecanismos anti-depuração e impersonificação variada de processos. O PolyFlame executa-se dentro de processos legítimos do vdaemon, usando scripts de inicialização de serviço modificados e um injetor para implantação. Ele suporta execução de comandos através de um componente estilizado TinyShell, uploads e downloads de arquivos, e o retransmissão de comunicações entre o servidor de comando e controle do atacante e vários pares.

O LittleFilch é um módulo de interceptação de sessão de controle que intercepta a função SSL_read para inspecionar mensagens do plano de controle após serem descriptografadas dentro do controlador. Para nós de borda predefinidos, ele extrai identificadores de IP e um campo de 32 bytes que a Talos avalia como material de chaveamento de plano de dados IPsec AES-256. Ele usa criptografia RSA para proteger as informações coletadas, salva-as no diretório /var/tmp/vdaemon.bin e, em seguida, transmite-as via UDP para os atacantes. A Cisco recomenda que os administradores de sistema apliquem as atualizações de segurança disponíveis para a CVE-2026-20127 e consultem o guia de endurecimento dedicado do fornecedor para implantações do Catalyst SD-WAN.