Malware KeyDrift usou falha de autenticação em controladores Cisco SD-WAN para roubar chaves de criptografia

A Cisco Talos identificou o grupo UAT-11473, que explorou a falha CVE-2026-20127, uma quebra de autenticação em instâncias de controladores do Cisco Catalyst SD-WAN, para entrar nos sistemas sem credenciais.

Um grupo com alvos estratégicos

Depois de entrar, o grupo instalou um conjunto de componentes chamado KeyDrift, descrito pela Talos como projetado para manter acesso persistente de longo prazo e para extrair automaticamente material de chaves de criptografia.

Os alvos observados ficam nos setores de serviços espaciais e de satélite, tecnologia de defesa e aeroespacial, e pesquisa de políticas.

A Talos avalia com alta confiança que a infraestrutura de operação desse grupo se sobrepõe em grande parte à rede chamada Silent Train, atribuída ao grupo conhecido como Volt Typhoon.

A camada atacada, chamada plano de controle, é a que coordena os equipamentos da rede, e por isso um controlador comprometido pode interceptar o tráfego de controle depois de decifrado.

Como o malware se mantém no equipamento

O componente principal, chamado PolyFlame, roda sobretudo na memória e é injetado em processos legítimos do controlador, o que dificulta a detecção por um arquivo suspeito no disco.

Para voltar a rodar depois de reinícios, o grupo alterou os scripts de inicialização de serviços do controlador, inclusive o do SSH, e tornou executável uma partição do sistema que normalmente não permite isso.

Um segundo componente, chamado LittleFilch, intercepta a leitura de dados já decifrados dentro do processo do controlador e extrai o material de chaves de nós de borda previamente definidos.

Esse material é guardado de forma cifrada no próprio equipamento antes de sair, e como ele é extraído só para os nós definidos previamente, a coleta descrita pela Talos é direcionada, e não uma descriptografia de todo o tráfego.

A Talos também registrou variantes que imitam um serviço legítimo da Cisco, o que indica desenvolvimento ativo do conjunto.

O que a investigação deve buscar

A Talos coloca a aplicação das correções em primeiro lugar, e a Cisco já publicou os patches e um guia de endurecimento para as instalações do Catalyst SD-WAN.

A Talos também recomenda procurar indícios de comprometimento, como scripts de inicialização alterados, bibliotecas inesperadas e executáveis suspeitos no serviço de autenticação do controlador.

Quando houver sinal de invasão, a orientação é acionar o plano de resposta a incidentes e abrir um chamado de suporte técnico com a Cisco.

A Talos também publicou identificadores de regras Snort para a falha e para os artefatos mostrados no relatório.

Para a perícia, o ponto difícil é que o componente principal existe sobretudo na memória, de modo que a coleta da memória do controlador e a comparação dos scripts de inicialização com os originais ganham peso.