Detalles del ataque y del software malicioso
Investigaciones de Cisco (Cisco Talos) revelaron la actividad de un grupo de amenaza avanzada (APT) conocido como UAT-11473, que explota una vulnerabilidad de seguridad grave identificada como CVE-2026-20127 en los controladores Cisco Catalyst SD-WAN. Esta vulnerabilidad, clasificada con el nivel más alto de gravedad, permite a los atacantes eludir la autenticación y obtener privilegios de acceso elevados, lo que les posibilita agregar dispositivos no autorizados a la red.
Los atacantes utilizan un marco de trabajo de software personalizado llamado KeyDrift, diseñado específicamente para operar dentro de los entornos de control de SD-WAN. Este marco consta de dos componentes principales: PolyFlame, responsable de la ejecución de comandos y el control de las comunicaciones, y LittleFilch, que se encarga de interceptar el tráfico de datos cifrados y extraer claves de cifrado sensibles (como las claves AES-256 IPsec).
¿Por qué es importante esta noticia?
La gravedad de este ataque radica en la naturaleza de sus objetivos, que incluyen sectores sensibles como los servicios espaciales y de satélites, las tecnologías de defensa y aeroespaciales, y las organizaciones de investigación política. La capacidad de KeyDrift para operar dentro de las operaciones de control de SD-WAN otorga a los atacantes un acceso prolongado y persistente, con la posibilidad de extraer datos sensibles de manera automatizada y cifrada, lo que dificulta enormemente la detección de la intrusión.
Las estimaciones indican una posible superposición entre el grupo UAT-11473 y la red de acceso encubierto conocida como "Silent Train", vinculada al grupo Volt Typhoon, lo que refuerza las preocupaciones sobre la persistencia de los ataques dirigidos a la infraestructura de redes globales.
¿Qué deben hacer los administradores?
Cisco emitió advertencias claras para que los administradores de sistemas tomen medidas inmediatas para proteger sus redes:
- Aplicar con urgencia las actualizaciones de seguridad disponibles para la vulnerabilidad CVE-2026-20127.
- Revisar y seguir la guía de endurecimiento (Hardening Guide) para los productos Catalyst SD-WAN proporcionada por la empresa.
- Monitorear las operaciones inusuales dentro de los controladores, especialmente aquellas relacionadas con archivos del sistema o procesos de inyección de código.
Este incidente subraya la importancia de actualizar periódicamente la infraestructura de red, ya que la dependencia de privilegios de acceso válidos tras la intrusión inicial sigue representando un gran desafío para las herramientas de defensa tradicionales.