Cisco Talos atribuiu a UAT-11473 a exploração histórica da vulnerabilidade CVE-2026-20127 e a instalação do malware KeyDrift em sistemas Cisco Catalyst SD-WAN. A análise, publicada em 28 de outubro de 2026, descreve a coleta de material que a Talos avalia como chaves AES-256 do plano de dados IPsec. A transmissão desse material não foi confirmada.

Neste artigo

O que Talos atribui a UAT-11473

Talos chama a atividade de histórica, mas não informa quando ocorreu. Uma reportagem do The Hacker News associou atividade desde pelo menos 2023 a UAT-8616, outro agrupamento; essa data não situa as operações de KeyDrift atribuídas a UAT-11473.

Talos também avaliou que a infraestrutura de UAT-11473 se sobrepõe à rede Silent Train, que a Lumen associa a Volt Typhoon. A sobreposição de infraestrutura não identifica os grupos como um só.

Como KeyDrift atua no SD-WAN

CVE-2026-20127 é uma falha de autenticação na verificação de pares do Cisco Catalyst SD-WAN. Segundo o resumo do alerta da Cisco publicado pelo The Hacker News, a exploração remota sem autenticação pode dar acesso a uma conta interna de alto privilégio, sem ser root, em um Controller. Essa conta pode acessar o NETCONF, protocolo de configuração de rede, e alterar a estrutura SD-WAN. A reportagem atribui à vulnerabilidade uma pontuação CVSS de 10,0.

Talos descreve dois componentes de KeyDrift. PolyFlame é injetado na memória do processo legítimo vdaemon e pode executar comandos ou atuar como intermediário de comando e controle. LittleFilch intercepta a função SSL_read nesse processo para examinar buffers de tráfego de controle já descriptografado. A Talos avalia que um campo de 32 bytes extraído dessa comunicação contém material de chaves AES-256 IPsec distribuídas pelo OMP, protocolo de gerenciamento de sobreposição do SD-WAN.

LittleFilch criptografa os registros coletados e os armazena localmente; o módulo também pode enviá-los por UDP. Talos não confirmou que o material de chaves tenha sido transmitido.

Funções afetadas e versões corrigidas

O resumo do alerta da Cisco publicado pelo The Hacker News aponta como afetados o Controller, anteriormente chamado vSmart, o Manager, anteriormente vManage, e o Validator, anteriormente vBond. O escopo relatado inclui instalações locais e hospedadas, independentemente da configuração.

As primeiras versões corrigidas abaixo foram reportadas por linha do software. Para versões anteriores à 20.9, a orientação relatada é migrar para uma versão corrigida.

Linha do Cisco SD-WANPrimeira versão corrigida reportada
Anterior à 20.9Migrar para uma versão corrigida
20.920.9.8.2
20.1120.12.6.1
20.1220.12.5.3 ou 20.12.6.1
20.13, 20.14 e 20.1520.15.4.2
20.16 e 20.1820.18.2.1

Indicadores e medidas defensivas

Talos lista regras Snort para os artefatos de KeyDrift: SIDs 67387 a 67416 no Snort 2 e 7:44 a 7:73 no Snort 3. O resumo do The Hacker News informa que as regras do Snort 2 ficam desativadas por padrão no conjunto pago Subscriber. Para a vulnerabilidade, Talos lista também os SIDs 65938 e 65958.

Um indicador de exploração citado no resumo do alerta da Cisco é a presença, em /var/log/auth.log, de entradas Accepted publickey for vmanage-admin originadas de endereços IP desconhecidos. Talos relaciona ainda arquivos e caminhos associados à atividade, entre eles libdssl.so, libcommon.so, /tmp/system-vdaemon, /var/tmp/vdaemon.bin e /var/tmp/vdaemon.conf.

Para instalações locais, o resumo do alerta descreve como contenção temporária restringir as portas 22 e 830 a endereços IP conhecidos de controladores e sistemas. Essa restrição não remove malware que já esteja no equipamento. Talos orienta administradores que encontrem indicadores a iniciar a resposta a incidentes e contatar o Cisco TAC.