Ing. Calogero Bono
A Cisco Talos publicou em 28 de outubro uma análise sobre o KeyDrift, um malware projetado para rodar dentro dos controladores do Cisco Catalyst SD-WAN. Os atacantes entram explorando a CVE-2026-20127, uma falha de bypass de autenticação com pontuação CVSS 10.0 que a Cisco corrigiu em fevereiro. O objetivo do malware é copiar as chaves que criptografam o tráfego entre as filiais de uma organização. Isso importa para quem administra redes corporativas geograficamente distribuídas, porque o ponto atingido é o cérebro da rede e não um único roteador.
Alguns termos antes de entrarmos nos fatos. SD-WAN é uma rede geográfica gerenciada por software, que conecta filiais e escritórios. O Controller (antigamente chamado vSmart) distribui regras e chaves, o Manager (vManage) administra tudo, o Validator (vBond) autentica os dispositivos. NETCONF é um protocolo para alterar a configuração de equipamentos de rede. Um APT é um grupo de atacantes avançado e persistente, muitas vezes ligado a um Estado. O bypass de autenticação permite entrar sem conhecer nenhuma senha.
O que aconteceu com a CVE-2026-20127
Segundo o aviso oficial da Cisco, o problema está na autenticação entre os componentes, que não funciona como deveria. Um atacante remoto e não autenticado pode enviar requisições construídas com precisão e obter privilégios administrativos. Em um Controller, ele pode acessar como usuário interno de alto privilégio, mas não como root. A partir daí chega ao NETCONF e pode alterar a configuração de toda a rede SD-WAN.
A falha afeta Controller, Manager e Validator, independentemente da configuração. Estão incluídas as instalações on-premise e as nuvens hospedadas pela Cisco, inclusive as gerenciadas pela própria Cisco e o ambiente FedRAMP. Segundo o The Hacker News, a Cisco incluiu o Validator no aviso em 16 de junho e declara ter conhecimento de exploração limitada. Não existem soluções alternativas à correção.
Como o KeyDrift funciona dentro do controlador?
No mecanismo tradicional de troca de chaves, cada roteador gera periodicamente uma chave AES para o próprio tráfego e a envia ao Controller. O Controller a repassa para os demais roteadores. Um processo chamado vdaemon gerencia as conexões de controle criptografadas que transportam essas chaves.
PolyFlame e LittleFilch
O KeyDrift tem dois componentes principais. O PolyFlame roda na memória, dentro dos processos vdaemon legítimos. Pode se comportar como uma backdoor no estilo TinyShell, executando comandos e lendo ou gravando arquivos, ou atuar como relay entre o servidor de comando e outras máquinas. As amostras analisadas não contêm um endereço de servidor escrito no código.
O LittleFilch se conecta ao vdaemon e lê as mensagens de controle depois da descriptografia. Para uma lista predefinida de roteadores de borda, extrai os endereços IP e um campo de 32 bytes, que a Talos acredita ser material de chaves AES-256 dos túneis IPsec. Ele criptografa tudo com RSA, grava em /var/tmp/vdaemon.bin e pode enviar via UDP para um endereço lido de um arquivo de configurações, que é apagado após o uso.
Como é instalado
Segundo a Talos, o KeyDrift entra principalmente por meio de scripts runit modificados, aqueles que os dispositivos Cisco usam para iniciar os serviços. O script do serviço SSH carrega um loader chamado conf_sshd, e uma ferramenta chamada rsshd injeta o PolyFlame nos processos vdaemon. Em um Validator comprometido aparece, em vez disso, um falso serviço aaamgr. Os atacantes também usam timestomping, ou seja, copiam datas e permissões de arquivos existentes para os seus.
Quais versões estão corrigidas?
A Cisco indica a primeira versão corrigida para cada linha. A contagem das linhas fora de manutenção é a que o The Hacker News reportou.
- Anteriores à 20.9 - migrar para uma versão corrigida.
- 20.9 - 20.9.8.2.
- 20.11 - 20.12.6.1.
- 20.12 - 20.12.5.3 ou 20.12.6.1.
- 20.13, 20.14 e 20.15 - 20.15.4.2.
- 20.16 e 20.18 - 20.18.2.1.
As versões anteriores à 20.9 e as linhas 20.11, 20.13, 20.14 e 20.16 chegaram ao fim da manutenção de software. Quem as usa precisa migrar para uma versão suportada.
Enquanto isso, quem mantém uma instalação on-premise pode limitar as portas 22 e 830 com ACL, regras de firewall ou security groups, permitindo apenas os IPs conhecidos dos controladores e dos hosts necessários. A Cisco afirma que a medida funcionou em um ambiente de teste, mas recomenda verificá-la na própria rede. Nas nuvens hospedadas pela Cisco, essas proteções já estão ativas.
Quem está por trás dos ataques?
A Talos atribui o KeyDrift ao grupo UAT-11473, que mirou serviços espaciais e satelitais, tecnologia de defesa e aeroespacial, e centros de pesquisa sobre políticas públicas. Segundo o BleepingComputer, o grupo parece se sobrepor à rede de acesso oculto chamada Silent Train, ligada ao Volt Typhoon, mas a Talos não estabelece conexões definitivas.
Para o The Hacker News, a sobreposição diz respeito à infraestrutura. O Silent Train é o nome que a Black Lotus Labs, da Lumen, usa para uma rede de dispositivos comprometidos, entre eles equipamentos de pequenos escritórios, residenciais e IoT. A Lumen sustenta que o Volt Typhoon usava essa rede para esconder suas atividades e que explorava a CVE-2026-20127 já no fim de 2025, mesmo após a divulgação de fevereiro. A Lumen, porém, não relaciona essa atividade ao KeyDrift.
Limites que você precisa conhecer
Muitas questões continuam em aberto. A Talos descreve os ataques históricos, mas não diz quando ocorreram nem se alguma chave foi de fato enviada. O arquivo de configurações com o endereço de destino não foi recuperado. O relatório não inclui hashes de arquivos, endereços IP ou domínios úteis para a caça a ameaças.
Não está claro como o UAT-11473 se relaciona com o UAT-8616, o grupo citado em fevereiro. Também não se sabe se a atualização remove o KeyDrift de um dispositivo já comprometido, nem se as chaves devem ser substituídas. Além disso, bloquear as portas não elimina um malware que já está presente. A Cisco alerta que, antes de uma atualização, podem existir comprometimentos ainda ativos.
O que muda para quem trabalha com tecnologia
Se a sua empresa ou os seus clientes usam o Catalyst SD-WAN, a atualização não basta como única ação. É preciso verificar se alguém entrou antes. A Cisco sugere ler /var/log/auth.log e procurar registros Accepted publickey para vmanage-admin a partir de IPs desconhecidos, comparando-os com os System IP exibidos no Manager.
Cada evento de peering nos logs precisa ser validado manualmente. Verifique o horário em relação às janelas de manutenção, o IP público em relação ao inventário, o IP de sistema do peer e o tipo de peer. Antes de abrir um chamado com o Cisco TAC, execute o comando request admin-tech em cada componente de controle.
Para quem desenvolve e administra servidores, vale uma lição mais ampla. As chaves de criptografia são um alvo tanto quanto as senhas, e um sistema que as distribui deve ser isolado e monitorado. Se quiser revisar os princípios, falamos sobre o protocolo Signal para criptografia de ponta a ponta. Com hospedagem e servidores gerenciados com atualizações de segurança, a questão das correções passa para quem os administra, mas continua sendo preciso verificar caso a caso.
Nossa opinião
Para nós, o ponto mais grave não é o malware, e sim o tempo. Segundo a Cisco Talos, a exploração remonta pelo menos a 2023, e a Lumen fala em atividade contínua mesmo depois de fevereiro. Uma correção publicada não encerra o caso se alguém teve acesso administrativo por meses. Muitas organizações tratam a atualização como o fim do trabalho, e aqui não é.
Também nos parece pouco satisfatória a comunicação sobre o que vem depois. As orientações sobre o que fazer ao encontrar um comprometimento são genéricas, e falta uma resposta clara sobre a substituição das chaves. Para as pequenas empresas brasileiras, que muitas vezes dependem de um fornecedor de rede sem acesso aos logs, isso é um problema real. O mesmo cenário de risco para as PMEs foi tratado no nosso texto sobre o que significa a segurança ofensiva automatizada para as PMEs italianas. Peça ao seu fornecedor uma resposta por escrito, não uma garantia verbal.
Perguntas frequentes
O que é a CVE-2026-20127?
É uma falha de bypass de autenticação no Cisco Catalyst SD-WAN, com pontuação CVSS 10.0. Permite que um atacante remoto não autenticado obtenha privilégios administrativos. A Cisco a corrigiu em fevereiro.
O que é o KeyDrift?
É um framework de malware descrito pela Cisco Talos, projetado para os controladores SD-WAN. Serve para manter acesso persistente, interceptar o tráfego de controle e copiar as chaves de criptografia. Tem dois componentes, PolyFlame e LittleFilch.
Existe uma solução alternativa à atualização?
Não. A Cisco declara que não há workarounds. Para as instalações on-premise existe uma mitigação temporária, que é limitar as portas 22 e 830 aos IPs conhecidos, mas ela não substitui a correção.
Como sei se fui comprometido?
Verifique /var/log/auth.log procurando Accepted publickey para vmanage-admin a partir de IPs desconhecidos. Compare-os com os System IP no Manager e valide cada evento de peering. Se encontrar sinais, abra um chamado com o Cisco TAC depois de executar request admin-tech.
A nuvem hospedada pela Cisco está segura?
Não totalmente. As instalações em nuvem hospedadas estão entre as afetadas pela falha. A Cisco declara, porém, que para elas as proteções nas portas já estão ativas.
O que monitorar nos próximos meses na sua rede SD-WAN
Nos próximos meses, convém acompanhar as atualizações da Talos sobre indicadores de comprometimento e sobre a remediação dos dispositivos já atingidos. Três ações práticas.
- Verifique a sua versão e migre para uma versão corrigida e ainda suportada, partindo da tabela da Cisco.
- Procure rastros anteriores nos logs de autenticação e nos arquivos indicados pela Talos, e guarde os arquivos admin-tech para o TAC.
- Limite as portas 22 e 830 aos IPs conhecidos e pergunte ao fornecedor se ele planejou a substituição das chaves. Para suporte externo, conheça os serviços da agência Meteora Web.
Fontes
- Cisco Security Advisory, vulnerabilidade de bypass de autenticação no Catalyst SD-WAN Controller
- BleepingComputer, hackers exploram falha do Cisco SD-WAN para implantar o malware KeyDrift
- The Hacker News, hackers exploraram falha do Cisco SD-WAN para instalar malware criado para roubar chaves de criptografia
