A Cisco Talos publicou em 28 de outubro de 2026 a análise do KeyDrift, conjunto de malware feito para viver dentro dos controladores Catalyst SD-WAN e extrair as chaves que protegem o tráfego entre as unidades da empresa. O acesso inicial veio da CVE-2026-20127, falha de autenticação com nota 10,0 na escala CVSS 3.1.
A falha está na autenticação entre pares do Catalyst SD-WAN Controller, do Manager e do Validator, antigos vSmart, vManage e vBond. Pelo registro no NVD, um atacante remoto e sem credencial obtém privilégio administrativo enviando requisições manipuladas. A Cisco corrigiu em fevereiro de 2026 e a CVE entrou no catálogo da CISA em 25 de fevereiro, com prazo de dois dias.
O KeyDrift tem dois módulos centrais. O PolyFlame fica apenas em memória, injetado em processos legítimos do vdaemon, e serve de porta dos fundos para executar comandos e ler ou gravar arquivos, além de retransmitir comando e controle para outros equipamentos comprometidos. O LittleFilch intercepta dados já descriptografados dentro do mesmo processo.
A Talos avalia que o alvo são identificadores de sessão de controle e blocos de 32 bytes que ela atribui a chaves AES-256 de IPsec distribuídas pelo protocolo OMP. O material é cifrado com RSA e pode sair por UDP disfarçado de registro comum de DTLS 1.2.
A persistência usa scripts de serviço alterados que se passam por serviços normais do sistema e datas copiadas de outros arquivos para disfarçar a instalação. Entre os alvos observados estão serviços espaciais e de satélite, empresas de defesa e tecnologia aeroespacial, e institutos de pesquisa de políticas públicas.
A Talos trata a atividade como histórica, não informa o período das invasões e não afirma que alguma chave chegou a sair das redes. Avalia com alta confiança que a infraestrutura do UAT-11473 tem sobreposição considerável com a Silent Train, rede de acesso oculto ligada ao Volt Typhoon, e diz que isso não significa que os grupos sejam o mesmo.
A correção existe desde fevereiro e a Cisco não publicou mitigação alternativa. As versões corrigidas são a 20.9.8.2, a 20.12.6.1, a 20.15.4.2 e a 20.18.2.1, conforme a linha em uso, e quem está em release anterior à 20.9 precisa migrar. Vale olhar também a CVE-2026-20182, de maio, que atinge os mesmos produtos pelo handshake da conexão de controle e tem a mesma nota 10,0.
