El 28 de octubre de 2026, Cisco Talos publicó un análisis que atribuye a UAT-11473 la explotación histórica de CVE-2026-20127 para instalar KeyDrift en sistemas Cisco Catalyst SD-WAN. Talos no fechó esa actividad. El malware inspecciona tráfico de control descifrado y recoge un campo de 32 bytes que Talos evalúa como material de claves AES-256 IPsec.
LittleFilch cifra y almacena localmente los registros recopilados, y puede enviarlos por UDP. La descripción de esa capacidad no implica que se transmitieran claves en esta actividad.
Contenido
- La vulnerabilidad abrió el acceso al plano de control
- Cómo KeyDrift inspecciona el tráfico SD-WAN
- Roles afectados y primeras versiones corregidas
- Indicadores de detección y respuesta
- La relación de UAT-11473 con Silent Train
La vulnerabilidad abrió el acceso al plano de control
CVE-2026-20127 es un fallo de autenticación en el proceso de emparejamiento de Cisco Catalyst SD-WAN. The Hacker News informó de una puntuación CVSS de 10,0 y de que un atacante remoto sin autenticar podía obtener acceso administrativo. En un Controller, la cuenta obtenida tendría privilegios elevados, pero no sería root; también permitiría acceder a NETCONF y modificar la configuración de la red SD-WAN.
La vulnerabilidad afecta, según el resumen del aviso de Cisco publicado por The Hacker News, a los roles Controller, Manager y Validator, tanto en instalaciones locales como en entornos alojados por Cisco. Los nombres anteriores de esos componentes son vSmart, vManage y vBond, respectivamente.
Cómo KeyDrift inspecciona el tráfico SD-WAN
Cisco Talos describe dos componentes principales. PolyFlame se inyecta en el proceso legítimo vdaemon y reside en la memoria. Puede ejecutar comandos y funcionar como puerta trasera o como intermediario de comunicaciones de mando y control, conocidas como C2.
LittleFilch intercepta la función SSL_read dentro de vdaemon para analizar los búferes de tráfico ya descifrados. Talos identifica un campo de 32 bytes después del marcador 05 01 0C 06 40 y lo evalúa como material de claves AES-256 IPsec distribuido por OMP. El módulo cifra los registros recopilados con RSA y los guarda localmente; también puede enviarlos por UDP.
Roles afectados y primeras versiones corregidas
The Hacker News publicó las siguientes primeras versiones corregidas por rama, atribuyéndolas a Cisco. Para ramas anteriores a la 20.9, la indicación reportada es migrar a una versión corregida.
| Rama de Cisco SD-WAN | Primera versión corregida reportada |
| 20.9 | 20.9.8.2 |
| 20.11 | 20.12.6.1 |
| 20.12 | 20.12.5.3 o 20.12.6.1 |
| 20.13, 20.14 y 20.15 | 20.15.4.2 |
| 20.16 y 20.18 | 20.18.2.1 |
La rama instalada determina qué versión corresponde. Para instalaciones locales que aún no pueden actualizar, The Hacker News atribuye a Cisco la recomendación provisional de limitar los puertos 22 y 830 a las direcciones IP conocidas de controladoras y sistemas. Esa restricción no elimina el malware que ya esté presente en un dispositivo.
Indicadores de detección y respuesta
Talos señala como indicador de explotación del CVE las entradas Accepted publickey for vmanage-admin en /var/log/auth.log cuando proceden de direcciones IP desconocidas. Para artefactos de KeyDrift, publicó las reglas Snort 2 SID 67387 a 67416 y las reglas Snort 3 SID 7:44 a 7:73. Las reglas Snort 2 están desactivadas de forma predeterminada en el conjunto Subscriber de pago, según The Hacker News. Talos también identifica las reglas 65938 y 65958 para CVE-2026-20127.
Entre los archivos y rutas de interés descritos por Talos figuran libdssl.so, libcommon.so, /tmp/system-vdaemon, /var/tmp/vdaemon.bin y /var/tmp/vdaemon.conf, además de los servicios asociados a /etc/sv/sshd/ y /etc/sv/aaamgr/. Para sistemas con indicadores, Talos recomienda iniciar la respuesta a incidentes y contactar con Cisco TAC. The Hacker News atribuye a la guía de remediación de Cisco la recomendación de recopilar la salida de request admin-tech de cada componente de control y revisar esos archivos en busca del error CSCws52722.
La relación de UAT-11473 con Silent Train
Talos atribuye a UAT-11473 actividad dirigida a servicios espaciales y satelitales, defensa y tecnología aeroespacial, e investigación sobre políticas. También evalúa que parte de su infraestructura coincide con Silent Train. Lumen relaciona Silent Train con Volt Typhoon; la relación que describe Talos es de infraestructura.
La referencia a actividad desde al menos 2023 corresponde a UAT-8616, un clúster distinto. Talos describió la actividad de KeyDrift atribuida a UAT-11473 como histórica, sin precisar cuándo ocurrió.
