Ataque ao SD-WAN da Cisco reforça necessidade de corrigir vulnerabilidades antigas

Hackers exploraram uma falha crítica dos sistemas SD-WAN da Cisco para instalar o malware KeyDrift, concebido para recolher chaves de encriptação que protegem os dados que circulam entre as sedes das empresas. A Cisco Talos deu a conocer as atividades a 28 de outubro, sem indicar quando ocorreram nem se alguma chave foi efetivamente enviada.

A falha, identificada como CVE-2026-20127, tem a classificação máxima de 10 em 10 e permite a atacantes remotos contornar o controlo de acesso e obter acesso aos sistemas de controlo Cisco Catalyst SD-WAN afetados. Uma vez dentro, o KeyDrift lê mensagens de rede depois de decifradas e recolhe dados que a Talos considera conter chaves de encriptação AES-256.

Num controlador afetado, o componente do KeyDrift designado LittleFilch atinge o vdaemon e lê mensagens de controlo após a decifração, cifrando o que recolhe com RSA e gravando-o num ficheiro, enviando depois esses dados por UDP para um endereço constante de um ficheiro de configurações que apaga após a leitura. Segundo os relatórios, o grupo por trás do KeyDrift, que a Talos acompanha como UAT-11473, já alvejou serviços espaciais e de satélites, tecnologia de defesa e aeroespacial e investigação de políticas. A Cisco aconselha os clientes a instalar o software corrigido, seguir as suas orientações de segurança e monitorizar atividade invulgar, iniciando um processo de resposta a incidentes caso detetem sinais de compromisso.

A Talos identificou malware concebido para recolher dados de chaves, mas não confirmou que os atacantes tenham enviado ou utilizado essas chaves para ler informações privadas.