VULNERABILIDAD
Cisco SD-WAN: explotación de falla crítica para instalar el malware KeyDrift y robar claves de cifrado
Cisco Talos atribuyó a un grupo con infraestructura superpuesta a Silent Train, red que Lumen vincula con Volt Typhoon, la instalación de KeyDrift en controladores SD-WAN para copiar claves de cifrado.
Cisco Talos informó el 28 de octubre de 2026 que actores de amenazas explotaron una falla crítica de Cisco Catalyst SD-WAN, corregida en febrero, para introducir un malware propio llamado KeyDrift en los sistemas que administran la red SD-WAN de una organización.
KeyDrift está diseñado para copiar las claves que cifran el tráfico entre sedes y almacenarlas para un uso posterior. Talos califica los ataques como históricos, sin precisar cuándo ocurrieron ni si alguna clave fue enviada fuera del sistema comprometido.
Talos rastrea la actividad del grupo detrás de KeyDrift como UAT-11473 y señala que su infraestructura se superpone de forma considerable con Silent Train, la red de dispositivos pequeños de oficina, hogar, IoT y empresariales comprometidos que Lumen identifica con ese nombre.
En paralelo, Lumen sostuvo el 28 de octubre que Volt Typhoon explotaba la vulnerabilidad CVE-2026-20127 hacia fines de 2025 y siguió haciéndolo después de que Cisco publicara el parche en febrero, sin vincular esa actividad con KeyDrift.
Cómo ocurrió
- Confirmado
- UAT-11473Grupo detrás de KeyDriftConfirmado.
- CVE-2026-20127Falla crítica en SD-WANConfirmado.
- Controladores SD-WANAcceso a sistemas de gestiónConfirmado.
- KeyDriftInstalado en controladoresConfirmado.
- Claves de cifradoCopiadas para uso posteriorConfirmado.
CiscoProducto afectadoConfirmado.
Reconstrucción de DUPIN Noticias según lo informado.
Qué se sabe
ACREDITADO
- Cisco Talos informó la existencia de KeyDrift y su función de copiar claves de cifrado en controladores SD-WAN.
- La falla afectada fue corregida por Cisco en febrero de 2026 y no existe workaround disponible.
- Cisco afirmó que tiene conocimiento de una explotación limitada de la vulnerabilidad.
- Lumen sostuvo que Volt Typhoon explotó CVE-2026-20127 desde fines de 2025 y después de la divulgación.
- CISA, la NSA y el FBI calificaron en 2024 a Volt Typhoon como un grupo patrocinado por el Estado chino.
SIN VERIFICAR O ABIERTO
- Talos no precisó cuándo ocurrieron los ataques con KeyDrift ni si las claves copiadas fueron exfiltradas.
- Talos vincula a UAT-11473 con Volt Typhoon solo por la superposición de infraestructura y no afirma que sean el mismo grupo.
- No está establecida la relación entre UAT-11473 y UAT-8616, el cluster reportado por Talos en febrero.
- Lumen no relacionó la explotación de CVE-2026-20127 con la actividad de KeyDrift.
- Se desconoce el alcance de las organizaciones afectadas por la instalación del malware.
Contexto
Volt Typhoon es un grupo que las agencias de ciberseguridad de Estados Unidos atribuyen al Estado chino. Según Lumen, utiliza Silent Train, una red de dispositivos comprometidos de oficina, hogar, IoT y empresas, para ocultar su actividad.
El grupo detrás de KeyDrift, identificado como UAT-11473, apuntó a servicios espaciales y satelitales, tecnología de defensa y aeroespacial, y centros de investigación de políticas públicas, de acuerdo con Talos.
Cuando Cisco divulgó la falla en febrero, Talos siguió su explotación como UAT-8616, un cluster de actividad que, según la empresa, se remontaba al menos a 2023.
Qué hacer
- Actualizar equipos SD-WAN Aplicar las versiones corregidas de Cisco Catalyst SD-WAN cuanto antes, ya que no existe workaround para la falla.
- Restringir puertos expuestos Mientras se actualiza, limitar el acceso a los puertos 22 y 830 a las direcciones IP de controladores y sistemas conocidos, y verificar su eficacia en la propia red.
- Revisar registros de acceso Buscar en los registros de autenticación entradas de acceso con clave pública desde direcciones IP desconocidas hacia cuentas administrativas.
- Rotar claves de cifrado Si se detecta compromiso, considerar la rotación de las claves que cifran el tráfico entre sedes, dado que el malware estaba diseñado para copiarlas.
- Revisar accesos de proveedores Auditar los accesos de terceros y proveedores a la infraestructura de red, y desconfiar de mensajes que usen el incidente como gancho.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
