--- title: Grupo de ameaça explora falha crítica em controladores Cisco para implantar malware personalizado url: https://www.dataloco.com/pt-br/grupo-de-ameaca-explora-falha-critica-em-controladores-cisco-para-implantar-malware-personalizado published: 2026-11-01T13:21:55+00:00 language: pt-br section: Segurança source: https://www.bleepingcomputer.com/news/security/hackers-exploit-cisco-sd-wan-flaw-to-deploy-custom-keydrift-malware/ organizations: Cisco, Cisco Talos, Lumen, Volt Typhoon, UAT-11473, UAT-8616 publisher: Dataloco --- # Grupo de ameaça explora falha crítica em controladores Cisco para implantar malware personalizado Um grupo de ameaça persistente avançado, rastreado como UAT-11473, explorou uma falha de contorno de autenticação em controladores Cisco Catalyst SD-WAN para implantar um framework de malware personalizado chamado KeyDrift. O grupo utilizou a vulnerabilidade para ganhar acesso privilegiado e adicionar pares não autorizados aos sistemas de rede das organizações alvo. A falha, identificada como CVE-2026-20127, é classificada como de severidade máxima. A Cisco corrigiu o problema em fevereiro de 2026. A vulnerabilidade permite que atacantes remotos obtenham acesso privilegiado ao Controlador e ao Gerenciador do Catalyst SD-WAN. Isso possibilita a adição de pares falsos à infraestrutura de rede. Pesquisas recentes vincularam a exploração dessa vulnerabilidade ao grupo de hackers patrocinado pelo estado chinês, conhecido como Volt Typhoon. Outro grupo, o UAT-8616, explorou a falha como um dia zero desde pelo menos 2023. Pesquisadores da Cisco Talos relataram que o cluster de ameaças UAT-11473 parece sobrepor-se à rede de acesso oculta Silent Train, associada ao Volt Typhoon. No entanto, os analistas não estabeleceram ligações definitivas entre os grupos. Um relatório da Lumen divulgado recentemente revelou que o framework Silent Train permitiu ao Volt Typhoon evitar a detecção enquanto realizava ataques de vulnerabilidade de dia zero. Os ataques observados pela Cisco visaram serviços espaciais e de satélite, tecnologia de defesa e aeroespacial, e organizações de pesquisa de políticas. O malware KeyDrift é um framework personalizado projetado para operar em instâncias de controladores Cisco SD-WAN. A Cisco Talos avalia com alta confiança que o framework foi projetado para fornecer acesso persistente de longo prazo e exfiltração automatizada de material de chaveamento sensível. O KeyDrift opera dentro dos processos do plano de controle do SD-WAN. Ele é capaz de interceptar tráfego de controle descriptografado, extrair metadados de sessões de controle e material de chaveamento do plano de dados, e organizar ou transmitir o material coletado usando registros criptografados. O KeyDrift possui dois componentes principais: PolyFlame e LittleFilch. A Talos observou sinais de desenvolvimento contínuo, incluindo novos mecanismos anti-depuração e impersonificação variada de processos. O PolyFlame executa-se dentro de processos legítimos do vdaemon, usando scripts de inicialização de serviço modificados e um injetor para implantação. Ele suporta execução de comandos através de um componente estilizado TinyShell, uploads e downloads de arquivos, e o retransmissão de comunicações entre o servidor de comando e controle do atacante e vários pares. O LittleFilch é um módulo de interceptação de sessão de controle que intercepta a função SSL_read para inspecionar mensagens do plano de controle após serem descriptografadas dentro do controlador. Para nós de borda predefinidos, ele extrai identificadores de IP e um campo de 32 bytes que a Talos avalia como material de chaveamento de plano de dados IPsec AES-256. Ele usa criptografia RSA para proteger as informações coletadas, salva-as no diretório /var/tmp/vdaemon.bin e, em seguida, transmite-as via UDP para os atacantes. A Cisco recomenda que os administradores de sistema apliquem as atualizações de segurança disponíveis para a CVE-2026-20127 e consultem o guia de endurecimento dedicado do fornecedor para implantações do Catalyst SD-WAN. ## This story in other languages - [日本語](https://www.dataloco.com/ja/cisco-sd-wan) - [한국어](https://www.dataloco.com/ko/cisco-sd-wan) - [हिन्दी](https://www.dataloco.com/hi/saibra-aparathhaya-na-sasaka-ka-gabhara-sarakashha-thashha-ka-upayaga-karaka-enakarapashana-ka-kajaya-carana-ka-le-malvayara-lgaii) - [Türkçe](https://www.dataloco.com/tr/saldirganlar-sifreleme-anahtarlarini-calmak-icin-cisco-sd-wan-acigini-kullandi) - [Русский](https://www.dataloco.com/ru/xakery-ispolzovali-uiazvimost-cisco-sd-wan-dlia-ustanovki-vredonosnogo-po-dlia-krazi-kliucei-sifrovaniia) - [עברית](https://www.dataloco.com/he/cisco-sd-wan-2) - [العربية](https://www.dataloco.com/ar/mkhtrkon-astghloa-thghr-fy-cisco-sd-wan-lzraa-brmgyat-khbyth-tsrk-mfatyh-altshfyr) - [Indonesia](https://www.dataloco.com/id/peretas-manfaatkan-celah-cisco-sd-wan-untuk-menanam-perangkat-lunak-berbahaya-pencuri-kunci-enkripsi) - [ไทย](https://www.dataloco.com/th/cisco-sd-wan) - [Deutsch](https://www.dataloco.com/de/schadsoftware-keydrift-stiehlt-verschlusselungsschlussel-uber-cisco-schwachstelle) - [Español](https://www.dataloco.com/es/hackers-explotan-un-fallo-de-cisco-sd-wan-para-desplegar-el-malware-keydrift) - [Italiano](https://www.dataloco.com/it/hacker-sfruttano-falla-di-cisco-sd-wan-per-distribuire-malware-keydrift) - [Nederlands](https://www.dataloco.com/nl/hackers-gebruikten-cisco-sd-wan-lek-om-malware-voor-encryptiesleutels-te-plaatsen) - [Svenska](https://www.dataloco.com/sv/hackare-utnyttjade-kritisk-sarbarhet-i-cisco-sd-wan-for-att-stjala-krypteringsnycklar) - [Français](https://www.dataloco.com/fr/exploitation-dune-faille-critique-dans-les-controleurs-cisco-catalyst-sd-wan) - [Polski](https://www.dataloco.com/pl/hakerzy-wykorzystuja-luke-w-cisco-sd-wan-do-wdrozenia-zlosliwego-oprogramowania-keydrift) - [Norsk](https://www.dataloco.com/no/hackere-utnytter-sarbarhet-i-cisco-sd-wan-for-a-distribuere-keydrift-skadevare)