No dia 28 de outubro, a Cisco Talos revelou que o grupo identificado como UAT-11473 tem explorado a vulnerabilidade CVE-2026-20127 em ambientes Cisco Catalyst SD-WAN para instalar o malware KeyDrift. Segundo o veículo de informação, os alvos observados incluem organizações de serviços espaciais e de satélite, defesa, tecnologia aeroespacial e pesquisa em políticas públicas.

Vulnerabilidade Utilizada

A vulnerabilidade explorada pelo grupo foi identificada em fevereiro de 2026, e já foi abordada em outra postagem no Diário do Analista. Identificada como CVE-2026-20127 e classificada como CWE-287 (autenticação inadequada), a falha recebeu pontuação CVSS 3.1 de 10.0 e afeta a autenticação de peering, mecanismo de estabelecimento de relações de confiança entre componentes da SD-WAN. Requisições especialmente construídas permitem que um atacante remoto, sem credenciais e sem interação do usuário, contorne essa autenticação e obtenha acesso por uma conta interna de altos privilégios.

Esse acesso permite alcançar o NETCONF, protocolo de gerenciamento de configurações, e manipular a configuração da infraestrutura SD-WAN. Vale ressaltar que a CVE fornece o acesso privilegiado, enquanto a instalação e as capacidades do KeyDrift correspondem à etapa de pós-comprometimento descrita pela Talos.

Análise do KeyDrift

Após explorar a CVE-2026-20127 e obter acesso ao controlador Cisco SD-WAN, o grupo instala o KeyDrift, projetado para permanecer no ambiente e coletar informações sensíveis da rede. Em vez de operar como um programa externo comum, o malware atua dentro de processos legítimos do plano de controle, a camada responsável por coordenar conexões, políticas e o tráfego entre os componentes da SD-WAN.

A persistência começa com alterações em scripts de inicialização de serviços gerenciados pelo runit, fazendo que o código malicoso seja carregado quando o equipamento inicia ou o serviço legítimo é executado. Em seguida, o componente rsshd injeta o módulo principal, denominado PolyFlame, nos processos vdaemon em execução. O PolyFlame funciona como a porta de entrada operacional do KeyDrift, interceptando comunicações do plano de controle, permitindo execução de comandos, leitura e gravação de arquivos, além de poder encaminhar instruções entre o operador e outros sistemas comprometidos.

O malware também possui um módulo chamado LittleFilch, o qual é voltado para a coleta de informações criptografadas. Ele intercepta a função SSL_read dentro do vdaemon, examina mensagens do plano de controle após sua descriptografia e extrai identificadores de equipamentos, além de campos de 32 bytes que a Talos avalia como material de chaves AES-256 do plano de dados IPsec. Esses dados são cifrados com RSA, armazenados localmente em /var/tmp/vdaemon.bin e podem ser preparados para envio posterior por UDP.

Em resumo, o KeyDrift foi projetado para manter acesso persistente ao controlador, interceptar comunicações internas da SD-WAN e coletar ou preparar para exfiltração material criptografado. A análise da Talos sustenta essa intenção e capacidade, mas não comprova que todo o tráfego das organizações afetadas tenha sido descriptografado.

Mitigações

Com base no comunicado da Cisco, o recomendado é realizar a atualização do Catalyst SD-WAN para as versões mais recentes com a vulnerabilidade corrigida, conforme divulgado em fevereiro de 2026 e baseado na tabela abaixo.

Para a investigação do KeyDrift em sistemas vulneráveis, merecem atenção alterações em scripts runit, bibliotecas como libdssl.so e libcommon.so, executáveis suspeitos aaamgrd e o arquivo de coleta /var/tmp/vdaemon.bin.

Referências

[1] CISCO TALOS. Inside KeyDrift: Analyzing historical UAT-11473 activity on Cisco SD-WAN. Disponível em: https://blog.talosintelligence.com/uat-11473-keydrift/. Acesso em: 30 de outubro de 2026.

[2] CISCO. Cisco Catalyst SD-WAN Controller Authentication Bypass Vulnerability. Disponível em: https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-rpa-EHchtZk. Acesso em: 30 de outubro de 2026.

[3] BILL TOULAS. Hackers exploit Cisco SD-WAN flaw to deploy custom KeyDrift malware. Disponível em: https://www.bleepingcomputer.com/news/security/hackers-exploit-cisco-sd-wan-flaw-to-deploy-custom-keydrift-malware/. Acesso em: 30 de outubro de 2026.