Hackers explotan una vulnerabilidad crítica 0-Day en Cisco SD-WAN para desplegar el malware KeyDrift y robar claves de cifrado

Un grupo de hackers vinculado a un estado aprovechó una vulnerabilidad de zero-day de máxima gravedad en Cisco SD-WAN para infiltrarse en los controladores de red e instalar un framework de malware personalizado llamado KeyDrift. La vulnerabilidad, identificada como CVE-2026-20127, tiene una puntuación CVSS de 10.0 y permite a un atacante remoto eludir la autenticación y obtener derechos de administrador sin contraseña.

KeyDrift está diseñado para operar de forma silenciosa dentro del sistema de control de una red Cisco SD-WAN. Los hackers explotan una vulnerabilidad crítica de zero-day en Cisco SD-WAN. Cisco solucionó la vulnerabilidad CVE-2026-20127 en febrero de 2026, por lo que el primer paso es confirmar que cada controlador ejecute una compilación parcheada. Los responsables de la seguridad también deben estar atentos a una vulnerabilidad más reciente del controlador SD-WAN, CVE-2026-20182, que utiliza el mismo servicio vdaemon y que también fue explotada.

Indicadores de compromiso (IoC) (IoC) (IoC):- TipoIndicadorDescripciónCVECVE-2026-20127Omisión de autenticación, CVSS 10.0Actor de amenazaUAT-11473Grupo APT detrás de KeyDriftMalwareKeyDriftMarco de trabajo personalizadoMóduloPolyFlame (libdssl.so)Puerta trasera y relé en memoriaMóduloLittleFilch (libcommon.so)Gancho SSL_read de robo de claveInjectorrsshdInyecta libdssl.so en vdaemonScriptconf_sshdEncuentra PID de vdaemon e inicia la inyecciónLoaderaaamgrdVariante empaquetada de PolyFlame haciéndose pasar por aaamgrPath/etc/sv/aaamgr/Malicious service pathPath/etc/sv/sshd/Modified runit launcher pathFile/var/tmp/vdaemon.binRSA-encrypted steal key dataFile/var/tmp/vdaemon.confEndpoint config, deleted after readingFile/tmp/system-vdaemonList of vdaemon PIDsLog entryAccepted publickey for vmanage-adminCheck in /var/log/auth.log for unknown IPsSnort 2 SIDs67387–67416KeyDrift detection rulesSnort 3 SIDs7:44–7:73KeyDrift detection rulesSnort SIDs65938, Detección de la vulnerabilidad 65958CVE-2026-20127. La publicación titulada "Los hackers explotan una vulnerabilidad crítica de zero-day en Cisco SD-WAN para desplegar el malware KeyDrift y robar claves de cifrado" apareció primero en Noticias de Ciberseguridad.

Consultar publicación original ↗