Ataques a controladores Cisco SD-WAN revelam uma ameaça que vai além do acesso privilegiado: a possibilidade de comprometer identidades, sessões e material criptográfico que sustentam a comunicação entre dispositivos de infraestrutura.
A segurança de uma rede corporativa depende de muito mais do que firewalls, segmentação e controles de acesso administrativo. Existe uma camada de confiança construída sobre identidades de dispositivos, certificados digitais, chaves criptográficas e protocolos de comunicação.
Quando essa camada é comprometida, o invasor pode alcançar componentes fundamentais da infraestrutura sem necessariamente depender de credenciais humanas.
Foi justamente esse cenário que ganhou destaque em uma investigação publicada pela Cisco Talos em 28 de outubro de 2026.
Os pesquisadores identificaram atividades do grupo UAT-11473 explorando a vulnerabilidade CVE-2026-20127, uma falha de bypass de autenticação em controladores Cisco Catalyst SD-WAN, para implantar um framework malicioso denominado KeyDrift.
O objetivo não era simplesmente obter acesso a um equipamento de rede. O malware foi desenvolvido para estabelecer persistência, interceptar comunicações internas e coletar material criptográfico sensível utilizado na operação da infraestrutura SD-WAN.
O caso traz uma questão importante para as organizações: quem protege as identidades e os privilégios dos próprios componentes que fazem a rede funcionar?
O ataque começa com uma falha de autenticação
A CVE-2026-20127 permite contornar mecanismos de autenticação em componentes afetados do Cisco Catalyst SD-WAN.
A vulnerabilidade recebeu correções da Cisco em fevereiro de 2026, mas sua exploração demonstra que a exposição de sistemas de gerenciamento de rede pode abrir caminhos para comprometimentos muito mais profundos.
Segundo a Cisco Talos, o grupo UAT-11473 utilizou esse acesso para implantar o KeyDrift em ambientes de controladores SD-WAN.
As atividades identificadas envolveram organizações dos setores espacial e de satélites, defesa, tecnologia aeroespacial e pesquisa de políticas públicas.
Os pesquisadores também identificaram sobreposição significativa entre a infraestrutura utilizada pelo grupo e a rede clandestina Silent Train, associada ao Volt Typhoon. Entretanto, essa relação de infraestrutura não constitui confirmação definitiva de que as operações tenham sido conduzidas pelo mesmo grupo.
Mais importante do que a atribuição é compreender o que aconteceu depois do acesso inicial.
KeyDrift: um malware que opera dentro do plano de controle
Diferentemente de malwares tradicionais que dependem de comunicação direta com servidores externos, o KeyDrift foi projetado para atuar dentro de processos legítimos do ambiente SD-WAN.
O framework utiliza diferentes componentes para alcançar persistência, executar comandos, interceptar tráfego e coletar informações criptográficas.
Dois módulos merecem atenção especial.
PolyFlame: persistência e controle dentro dos processos legítimos
O PolyFlame é o principal componente operacional do KeyDrift.
Sua implantação envolve alterações em scripts de inicialização de serviços e injeção de código em processos legítimos, especialmente o vdaemon, utilizado pelo ambiente Cisco SD-WAN.
Uma vez executado dentro desse processo, o malware passa a operar em uma posição privilegiada para observar informações relacionadas ao plano de controle.
Entre suas capacidades identificadas estão:
- Execução remota de comandos e operações de leitura e escrita de arquivos.
- Interceptação de chamadas de rede e funções relacionadas ao DTLS.
- Comunicação com a infraestrutura de comando e controle dos atacantes.
- Atuação como intermediário de comunicação com outros dispositivos.
- Acesso ao contexto interno de sessões e informações mantidas pelo processo comprometido.
Um aspecto particularmente relevante é a utilização do próprio tráfego do plano de controle para comunicação e execução de instruções.
Isso reduz a dependência de padrões tradicionais de beaconing externo, frequentemente utilizados por soluções de detecção de ameaças.
O resultado é um malware que pode se esconder no comportamento de processos fundamentais para a operação da rede.
LittleFilch: o componente que procura as chaves
O segundo componente, LittleFilch, representa a dimensão mais preocupante do ataque sob a perspectiva de Identity Security.
Ele intercepta a função SSL_read dentro do processo comprometido, permitindo examinar informações de controle depois que foram descriptografadas pelo software legítimo.
A partir dessas mensagens, o malware procura identificadores de dispositivos e campos criptográficos específicos.
A Cisco Talos identificou a coleta de informações como endereços IP de dispositivos de borda, identificadores de peers e um campo de 32 bytes avaliado pelos pesquisadores como material de chave AES-256 utilizado no plano de dados IPsec.
As informações coletadas são criptografadas com RSA, armazenadas temporariamente e podem ser transmitidas para a infraestrutura controlada pelos atacantes.
Esse mecanismo evidencia um problema fundamental: a criptografia pode proteger a comunicação durante o transporte, mas não elimina o risco de comprometimento do processo que manipula os dados depois da descriptografia.
Não se trata de uma quebra matemática do AES-256 ou do TLS. O ataque explora a confiança depositada no componente que possui acesso legítimo ao material criptográfico.
O verdadeiro alvo: a identidade da infraestrutura
A maioria dos programas corporativos de Identity and Access Management concentra esforços em identidades humanas.
Colaboradores, terceiros e administradores recebem políticas de autenticação, autorização, revisão periódica de acessos e controles de privilégios.
Entretanto, infraestruturas modernas dependem de um universo crescente de identidades não humanas, ou Non-Human Identities (NHI).
Controladores SD-WAN, roteadores, gateways, appliances, APIs e serviços automatizados utilizam certificados, chaves, tokens e contas técnicas para estabelecer relações de confiança.
Essas identidades possuem privilégios operacionais e, em determinados cenários, acesso a informações extremamente sensíveis.
Quando um componente de infraestrutura é comprometido, o impacto potencial ultrapassa o equipamento individual.
O atacante pode alcançar informações utilizadas para estabelecer sessões, identificar outros dispositivos e compreender as relações de confiança da rede.
É por isso que o KeyDrift deve ser analisado também como um problema de governança de identidades.
PAM não termina na conta do administrador
Tradicionalmente, projetos de Privileged Access Management concentram-se na proteção de contas administrativas, cofres de senhas, sessões privilegiadas e acessos de fornecedores.
Esses controles continuam essenciais, mas o KeyDrift demonstra que a superfície de privilégio é maior.
Um processo de infraestrutura que manipula material criptográfico sensível possui capacidades privilegiadas, mesmo quando não está associado a uma conta administrativa humana.
Da perspectiva de segurança, proteger esse ambiente exige combinar PAM com controles de identidade de máquinas, gestão de certificados, hardening e monitoramento da integridade dos componentes.
Isso inclui cinco prioridades.
1. Inventariar identidades de infraestrutura
Organizações precisam identificar quais componentes utilizam certificados, chaves, tokens e credenciais técnicas para autenticação e comunicação.
O inventário deve incluir dispositivos de rede, controladores, serviços de gerenciamento e integrações automatizadas.
2. Governar o ciclo de vida do material criptográfico
A emissão, distribuição, armazenamento, renovação e revogação de certificados e chaves precisam fazer parte de processos formalizados.
A simples existência de um certificado válido não garante que o componente que o utiliza permaneça confiável.
3. Reduzir privilégios de processos e serviços
O princípio do menor privilégio deve alcançar processos internos, serviços de infraestrutura e mecanismos de automação.
Também é necessário proteger a integridade dos serviços responsáveis por carregar e executar componentes críticos.
4. Monitorar comportamentos anormais
A detecção não pode depender exclusivamente de autenticações suspeitas ou conexões externas conhecidas.
Alterações em scripts de inicialização, injeção de processos, carregamento inesperado de bibliotecas e acessos incomuns a material criptográfico precisam integrar as estratégias de monitoramento.
5. Preparar a recuperação da confiança
Quando existe suspeita de comprometimento de chaves ou componentes de controle, remover o malware pode não ser suficiente.
Dependendo das evidências e da arquitetura afetada, a resposta pode exigir substituição de material criptográfico, revalidação de dispositivos, reconstrução de componentes e restabelecimento das relações de confiança.
O desafio para Zero Trust
O modelo Zero Trust parte do princípio de que a confiança não deve ser concedida permanentemente com base apenas na localização ou na presença de um dispositivo dentro da rede.
O KeyDrift reforça a necessidade de aplicar esse conceito também às identidades de infraestrutura.
Um controlador pode possuir certificados válidos e continuar sendo um componente comprometido.
Da mesma forma, uma comunicação criptografada pode transportar informações manipuladas ou interceptadas por um processo malicioso executado em uma das extremidades.
Portanto, a verificação contínua precisa considerar não apenas a identidade declarada, mas também a integridade do componente, seu comportamento e seu contexto operacional.
A confiança deve ser tratada como uma condição continuamente avaliada, não como uma propriedade permanente de um dispositivo autenticado.
O que as organizações devem fazer agora?
Para ambientes que utilizam Cisco Catalyst SD-WAN, a prioridade imediata é verificar a exposição à CVE-2026-20127, aplicar as atualizações disponibilizadas pela Cisco e seguir as orientações oficiais de hardening.
Também é recomendável procurar indicadores de comprometimento publicados pela Cisco Talos, especialmente alterações inesperadas em serviços, processos e artefatos associados ao KeyDrift.
Caso existam evidências de atividade maliciosa, a organização deve acionar seus procedimentos de resposta a incidentes e avaliar a possível exposição de material criptográfico.
Para organizações que não utilizam Cisco SD-WAN, a lição permanece relevante.
É necessário revisar como identidades de infraestrutura são inventariadas, protegidas, monitoradas e recuperadas em situações de comprometimento.
Conclusão: proteger o acesso não é suficiente quando a confiança pode ser roubada
O KeyDrift demonstra uma evolução importante nas ameaças direcionadas à infraestrutura corporativa.
O invasor não precisa necessariamente comprometer milhares de usuários quando consegue alcançar um componente central responsável por estabelecer e administrar relações de confiança.
A proteção das identidades digitais precisa ultrapassar as fronteiras tradicionais de IAM e PAM.
Certificados, chaves criptográficas, processos privilegiados e identidades de máquinas devem ser tratados como ativos críticos de segurança.
A pergunta deixa de ser apenas quem tem acesso à rede. Passa a ser também quem controla as identidades e as chaves que fazem a rede confiar em seus próprios componentes.
Essa é uma discussão que precisa fazer parte das estratégias modernas de Identity Security, Privileged Access Management e Zero Trust.
