# Malware KeyDrift usou falha de autenticação em controladores Cisco SD-WAN para roubar chaves de criptografia

- Publicado: 09.Nov.2026
- Assunto: Perícia digital
- Endereço: https://nexocausal.eng.br/artigos/keydrift-malware-controladores-cisco-sd-wan-chaves-criptografia/
- Fonte original: Cisco Talos, https://blog.talosintelligence.com/uat-11473-keydrift/, 28.Out.2026 (inglês)
- Marcadores: Cisco SD-WAN, malware, chaves de criptografia, ameaça persistente avançada, resposta a incidente
- Como citar: NEXO CAUSAL, "Malware KeyDrift usou falha de autenticação em controladores Cisco SD-WAN para roubar chaves de criptografia", 09.Nov.2026, https://nexocausal.eng.br/artigos/keydrift-malware-controladores-cisco-sd-wan-chaves-criptografia/

## O que importa

- O grupo UAT-11473 explorou uma falha de autenticação em controladores Cisco SD-WAN para instalar o conjunto de malware KeyDrift.
- O malware roda na memória, se disfarça de processos legítimos e extrai material de chaves do tráfego de controle da rede.
- Segundo a Cisco Talos, a prioridade é aplicar as correções publicadas pela Cisco e procurar scripts de inicialização alterados.

A Cisco Talos identificou o grupo UAT-11473, que explorou a falha CVE-2026-20127, uma quebra de autenticação em instâncias de controladores do Cisco Catalyst SD-WAN, para entrar nos sistemas sem credenciais.

## Um grupo com alvos estratégicos

Depois de entrar, o grupo instalou um conjunto de componentes chamado KeyDrift, descrito pela Talos como projetado para manter acesso persistente de longo prazo e para extrair automaticamente material de chaves de criptografia.

Os alvos observados ficam nos setores de serviços espaciais e de satélite, tecnologia de defesa e aeroespacial, e pesquisa de políticas.

A Talos avalia com alta confiança que a infraestrutura de operação desse grupo se sobrepõe em grande parte à rede chamada Silent Train, atribuída ao grupo conhecido como Volt Typhoon.

A camada atacada, chamada plano de controle, é a que coordena os equipamentos da rede, e por isso um controlador comprometido pode interceptar o tráfego de controle depois de decifrado.

## Como o malware se mantém no equipamento

O componente principal, chamado PolyFlame, roda sobretudo na memória e é injetado em processos legítimos do controlador, o que dificulta a detecção por um arquivo suspeito no disco.

Para voltar a rodar depois de reinícios, o grupo alterou os scripts de inicialização de serviços do controlador, inclusive o do SSH, e tornou executável uma partição do sistema que normalmente não permite isso.

Um segundo componente, chamado LittleFilch, intercepta a leitura de dados já decifrados dentro do processo do controlador e extrai o material de chaves de nós de borda previamente definidos.

Esse material é guardado de forma cifrada no próprio equipamento antes de sair, e como ele é extraído só para os nós definidos previamente, a coleta descrita pela Talos é direcionada, e não uma descriptografia de todo o tráfego.

A Talos também registrou variantes que imitam um serviço legítimo da Cisco, o que indica desenvolvimento ativo do conjunto.

## O que a investigação deve buscar

A Talos coloca a aplicação das correções em primeiro lugar, e a Cisco já publicou os patches e um guia de endurecimento para as instalações do Catalyst SD-WAN.

A Talos também recomenda procurar indícios de comprometimento, como scripts de inicialização alterados, bibliotecas inesperadas e executáveis suspeitos no serviço de autenticação do controlador.

Quando houver sinal de invasão, a orientação é acionar o plano de resposta a incidentes e abrir um chamado de suporte técnico com a Cisco.

A Talos também publicou identificadores de regras Snort para a falha e para os artefatos mostrados no relatório.

Para a perícia, o ponto difícil é que o componente principal existe sobretudo na memória, de modo que a coleta da memória do controlador e a comparação dos scripts de inicialização com os originais ganham peso.