El cifrado no bastó: KeyDrift roba claves directamente de procesos de Cisco SD‑WAN

Los hackers del grupo UAT-11473 vulneraron controladores Cisco Catalyst SD-WAN mediante una vulnerabilidad crítica e instalaron en los procesos de red el conjunto malicioso KeyDrift. El malware obtiene acceso al tráfico de servicio ya descifrado y puede extraer claves criptográficas. Los ataques afectaron a organizaciones del sector espacial y satelital, del sector de defensa y aeroespacial, así como a entidades dedicadas al análisis de la política estatal.

El punto de entrada fue CVE-2026-20127 con una puntuación máxima de 10 sobre 10 en la escala CVSS. Un fallo en el mecanismo de autenticación permite a un atacante remoto sin cuenta obtener privilegios administrativos en el controlador vulnerable. Cisco cerró la brecha en febrero de 2026, pero luego confirmó un número limitado de ataques reales. No existe solución alternativa, por lo que la empresa recomienda actualizar a la versión corregida del software.

SD-WAN gestiona las conexiones entre sucursales, centros de datos y otras partes de la red distribuida. El controlador conoce las rutas, las políticas de red y los parámetros de las conexiones, por lo que la captura de ese nodo da al atacante muchas más posibilidades que infectar un equipo de usuario común. Los creadores de KeyDrift fueron aún más allá e insertaron código directamente en los procesos por los que el controlador procesa el tráfico de servicio.

El componente principal PolyFlame se carga en el proceso en ejecución vdaemon y permanece en memoria. Tras la infección, el malware observa el estado de las conexiones de gestión, las rutas, la topología de la red y las claves de sesión. Los operadores pueden ejecutar comandos, leer y escribir archivos, y el controlador comprometido puede reenviar órdenes a otros nodos. En las muestras analizadas, los especialistas no encontraron una dirección fija de servidor de mando: los comandos pueden transmitirse dentro del tráfico de servicio habitual de Cisco SD-WAN, lo que complica notablemente la detección del malware por señales de red.

El robo de claves lo realiza un módulo separado, LittleFilch. El programa intercepta datos dentro de vdaemon después de que el sistema haya descifrado la conexión protegida y busca los campos necesarios en los mensajes de servicio. Entre los valores encontrados, los especialistas identificaron bloques de 32 bytes que, con alta probabilidad, consideran material clave AES-256 para IPsec. Ese tipo de claves las utiliza SD-WAN para proteger el tráfico entre nodos de red.

La información recopilada la cifra LittleFilch con RSA y la guarda en un archivo temporal; seguidamente, los datos pueden enviarse al exterior por UDP. Los investigadores no afirman que UAT-11473 ya haya descifrado con las claves robadas el tráfico de usuarios. La capacidad confirmada de KeyDrift se limita por ahora a interceptar las conexiones de servicio, extraer material clave y preparar datos para su envío a los atacantes.

El sigilo de KeyDrift no se basa solo en operar dentro de procesos legítimos. Una de las variantes se camufla como el servicio legítimo aaamgr, comprueba si hay un depurador en ejecución y oculta la carga útil principal dentro de un archivo cifrado. Otros componentes modifican los scripts de inicio de los servicios del sistema para que el malware reaparezca tras un reinicio. La variedad de variantes y métodos de instalación indica que los desarrolladores continúan perfeccionando el conjunto.

Una pista separada conduce a la infraestructura Silent Train. Los especialistas de Talos han hallado con alto grado de certeza una intersección significativa entre los servidores y nodos de red de UAT-11473 y esa red oculta. Lumen atribuye Silent Train a las operaciones de la agrupación china Volt Typhoon, que crea cadenas a través de routers comprometidos, dispositivos del Internet de las cosas y sistemas corporativos para ocultar la fuente real de los ataques.

Silent Train se ha utilizado en los últimos tres años contra compañías de telecomunicaciones, organismos estatales, contratistas de defensa, comunicaciones por satélite e infraestructura crítica. Lumen también descubrió que los operadores de Volt Typhoon explotaron CVE-2026-20127 contra Cisco Catalyst SD-WAN ya a finales de 2025. Sin embargo, la coincidencia de infraestructura y la explotación de la vulnerabilidad no demuestra que UAT-11473 y Volt Typhoon operen como un mismo grupo. Talos no extrae esa conclusión y continúa rastreando a UAT-11473 por separado.

Cisco aconseja a los propietarios de Catalyst SD-WAN no limitarse a instalar el parche. La compañía recomienda bloquear los componentes de gestión frente al acceso directo desde Internet, permitir conexiones solo desde nodos de confianza y revisar los registros en busca de tráfico inesperado. Si KeyDrift ya ha penetrado en el controlador, una actualización no es suficiente: los administradores deberán buscar huellas de acceso no autorizado y verificar qué cambios pudieron introducir los atacantes en la red.