Cisco Talos reveló que un grupo de espionaje explotó la vulnerabilidad CVE-2026-20127 de Cisco Catalyst SD-WAN para instalar KeyDrift. Este malware copia las claves que cifran el tráfico entre sedes y las guarda para uso posterior. La falla tiene una puntuación CVSS de 10.0, el máximo posible, y afecta a quien opere los componentes de control de esta plataforma, en sus propias instalaciones o en la nube de Cisco.
La vulnerabilidad permite a un atacante remoto, sin credenciales, saltarse la autenticación y obtener privilegios administrativos. Afecta al Controller (antes vSmart), al Manager (antes vManage) y al Validator (antes vBond), sin importar su configuración. En el esquema tradicional de intercambio de claves, cada router genera periódicamente una clave AES y la envía al Controller, que la reparte al resto. KeyDrift ataca ese punto central. Su componente LittleFilch se inyecta en el proceso vdaemon, que gestiona las conexiones de control cifradas. Allí lee los mensajes ya descifrados y extrae, para una lista predefinida de routers, sus direcciones IP y un campo de 32 bytes. Talos evalúa ese campo como material de clave AES-256. Los datos se cifran con RSA, se guardan en /var/tmp/vdaemon.bin y pueden enviarse por UDP a un destino definido en un archivo que luego se borra.
La persistencia se logra modificando scripts de runit, el sistema que arranca los servicios del equipo. El script del servicio SSH lanza primero un cargador que inyecta el módulo principal, PolyFlame, en vdaemon. PolyFlame funciona en memoria como puerta trasera: ejecuta comandos, lee y escribe archivos y puede retransmitir órdenes a otros equipos. Recibe instrucciones camufladas dentro del propio tráfico de control SD-WAN. En el Validator, un servicio falso llamado aaamgr ejecuta el cargador. Los atacantes además alteraron fechas y permisos de sus archivos para que parecieran legítimos. Talos atribuye la campaña al grupo UAT-11473, enfocado en servicios espaciales y satelitales, defensa, aeroespacial e investigación de políticas públicas. Su infraestructura coincide en gran medida con Silent Train, red de dispositivos comprometidos usada por Volt Typhoon, aunque Talos no afirma que sean el mismo grupo. Por separado, Lumen reportó que Volt Typhoon explotaba esta falla desde finales de 2025.
No existe solución alternativa al parche. Las primeras versiones corregidas son: rama 20.9 a 20.9.8.2; 20.11 a 20.12.6.1; 20.12 a 20.12.5.3 o 20.12.6.1; 20.13, 20.14 y 20.15 a 20.15.4.2; 20.16 y 20.18 a 20.18.2.1. Las versiones anteriores a 20.9 deben migrar a una versión corregida. Esas versiones y las ramas 20.11, 20.13, 20.14 y 20.16 ya no reciben mantenimiento. Mientras actualizan, los clientes con instalación propia pueden restringir los puertos 22 y 830 a las IP de controladores y sistemas conocidos. Cisco advierte que esta medida no elimina un malware ya instalado.
Para detectar explotación, Cisco recomienda buscar en /var/log/auth.log entradas Accepted publickey for vmanage-admin desde IP desconocidas. También conviene revisar la presencia de conf_sshd, rsshd, libdssl.so, libcommon.so, aaamgrd, /tmp/system-vdaemon y del directorio /etc/sv/aaamgr/. Talos publicó reglas Snort para el tráfico de comando y control de KeyDrift: 67387 a 67416 en Snort 2, desactivadas por defecto, y 7:44 a 7:73 en Snort 3. Las reglas 65938 y 65958 cubren la vulnerabilidad. La guía de remediación de Cisco advierte que actualizar no garantiza eliminar accesos previos. Ante indicios de compromiso, ejecuta request admin-tech en cada componente de control antes de abrir un caso con el TAC de Cisco.
Qué significa para tu empresa: si tu red usa Cisco Catalyst SD-WAN, verifica esta semana la versión de cada Controller, Manager y Validator, y revisa los registros de autenticación. Un parche no limpia un equipo ya comprometido; si hay señales, trátalo como incidente y evalúa reconstruir instancias desde imágenes corregidas y renovar las claves. En nuestra experiencia, intrusiones silenciosas en equipos de red solo se detectan con monitoreo 24/7 que correlacione los registros de la infraestructura de red, no solo los de servidores y estaciones.
Fuente original: The Hacker News — ver artículo →