KeyDrift roubava chaves do Cisco SD-WAN; infraestrutura sobrepõe à do Volt Typhoon
A Cisco Talos detalhou em 28 de outubro o KeyDrift, malware implantado em controladores do Cisco Catalyst SD-WAN por meio da CVE-2026-20127 (CVSS 10,0), falha corrigida em fevereiro de 2026. O malware copia as chaves que protegem o tráfego entre sites e mantém acesso persistente; a Talos avalia, com alta confiança, sobreposição entre a infraestrutura do grupo UAT-11473 e a rede Silent Train, usada pelo Volt Typhoon e documentada pela Lumen. Os ataques são históricos e a falha está corrigida: aplique a correção e investigue persistência nos controladores.
O que aconteceu
A Cisco Talos revelou o KeyDrift, malware instalado em controladores do Cisco SD-WAN por meio de uma falha crítica já corrigida. O programa copia as chaves que protegem o tráfego entre sites e mantém acesso contínuo aos equipamentos.
Por que importa
Com essas chaves, um invasor pode ler o tráfego criptografado entre filiais e alterar a configuração da rede. Segundo a Lumen, o Volt Typhoon usou a mesma falha contra telecoms, governo, defesa, MSPs e infraestrutura crítica dos EUA, em atividade avaliada como preparação para uma crise geopolítica.
O que fazer
Aplique a correção de fevereiro de 2026 nos controladores Catalyst SD-WAN e investigue vestígios de invasão, pois os ataques são históricos e podem ter deixado acesso oculto.
Para o time técnico
- CVE
- CVE-2026-20127
- Afetados
- Cisco SD-WAN · Controladores do Cisco Catalyst SD-WAN. Versões específicas não citadas nas fontes.
- Exploração
- Exploração confirmada pela Cisco Talos em ataques históricos, com datas não especificadas. A Lumen Black Lotus Labs relata que o Volt Typhoon explorava a CVE-2026-20127 desde o fim de 2025 e continuou depois da divulgação, em fevereiro de 2026. A Talos atribui os ataques ao UAT-11473, APT sofisticado voltado a serviços espaciais e de satélite, defesa, aeroespacial e pesquisa de políticas.
- Correção
- Falha corrigida em fevereiro de 2026. Versões corrigidas específicas não citadas nas fontes.
- Vetor
- Cisco Catalyst SD-WAN, CVE-2026-20127 (CVSS 10,0). Exploração remota sem credenciais: contorna a autenticação de peering dos componentes do controlador e obtém direitos de administrador, segundo a SecurityWeek. A Cisco alerta que esse acesso permite alterar a configuração da rede SD-WAN.
- Mais detalhes
- O KeyDrift é injetado em processos legítimos do plano de controle e acessa o tráfego depois de descriptografado. O módulo PolyFlame atua como backdoor e nó C2 intermediário; o LittleFilch coleta material de chaveamento, avaliado como incluindo chaves do plano de dados. A Talos avalia com alta confiança que a infraestrutura do UAT-11473 se sobrepõe à rede Silent Train do Volt Typhoon, sem afirmar que são o mesmo grupo. A Lumen monitora a Silent Train desde o fim de 2023, emitiu centenas de notificações de vítimas e ligou a rede a pelo menos quatro campanhas zero-day confirmadas (Versa Director, N-able N-central, Cisco Catalyst SD-WAN e VeloCloud Orchestrator), além de provável zero-day no Quest KACE. Vítimas incluem telecoms, governo, contratantes de defesa, provedores de satélite e comunicações críticas, MSPs, universidades com vínculo militar e infraestrutura crítica, com mais alvos em Havaí, Califórnia e Texas. O pesquisador Mike Horka, da Lumen, disse que documentos sobre operações militares e estruturas de rede foram exfiltrados.
Linha do tempo
BleepingComputer repercute a campanha que explora a falha do Cisco SD-WAN para implantar o malware KeyDrift, sem detalhes novos além do relato do Talos.
Talos detalha que a infraestrutura do KeyDrift se sobrepõe à rede 'Silent Train' do Volt Typhoon, antes descrita pela Lumen.
Cobertura confirma que a falha do Cisco Catalyst SD-WAN usada nos ataques foi corrigida em fevereiro.
Quer as próximas atualizações no seu e-mail? Inscreva-se na edição diária →
Ver todas as 5 atualizações
Nova publicação destaca que a falha do Cisco SD-WAN tem nota CVSS 10.0 e liga a infraestrutura do KeyDrift a uma rede usada pelo grupo Volt Typhoon.
Incidente aberto.
Fontes 5 fontes
- @DailyDarkWeb @DailyDarkWeb
- @TheHackersNews @TheHackersNews
- Hackers Exploited Cisco SD-WAN Flaw to Plant Malware Built to Steal Encryption Keys The Hacker News
- Cisco SD-WAN Zero-Day Exploitation Tied to Volt Typhoon's ‘Silent Train' Network SecurityWeek
- @BleepinComputer @BleepinComputer
