Detalhes do ataque e do malware
Pesquisas da Cisco (Cisco Talos) revelaram a atividade de um grupo de ameaça avançada (APT) conhecido como UAT-11473, que explora uma grave vulnerabilidade de segurança identificada como CVE-2026-20127 em controladores Cisco Catalyst SD-WAN. Essa falha, classificada com o nível mais alto de gravidade, permite que os invasores contornem a autenticação e obtenham privilégios de acesso elevados, possibilitando a adição de dispositivos não autorizados à rede.
Os invasores utilizam um framework de software personalizado chamado KeyDrift, desenvolvido especificamente para operar dentro de ambientes de controle SD-WAN. Esse framework é composto por dois componentes principais: PolyFlame, responsável pela execução de comandos e controle de comunicações, e LittleFilch, que atua na interceptação de tráfego de dados criptografados e na extração de chaves criptográficas sensíveis (como chaves AES-256 IPsec).
Por que esta notícia importa?
A gravidade deste ataque reside na natureza dos alvos visados, que incluem setores sensíveis como serviços espaciais e de satélite, tecnologias de defesa e aeroespaciais, e instituições de pesquisa política. A capacidade do KeyDrift de operar dentro das operações de controle SD-WAN concede aos invasores acesso de longo prazo e sustentado, com a capacidade de extrair dados sensíveis de forma automatizada e criptografada, tornando a detecção da intrusão extremamente difícil.
Estimativas apontam uma possível sobreposição entre o grupo UAT-11473 e a rede de acesso secreto conhecida como "Silent Train", associada ao grupo Volt Typhoon, o que intensifica as preocupações sobre a continuidade de ataques direcionados à infraestrutura de redes globais.
O que os administradores devem fazer?
A Cisco emitiu alertas claros para que os administradores de sistemas tomem medidas imediatas para proteger suas redes:
- Aplicar com urgência as atualizações de segurança disponíveis para a vulnerabilidade CVE-2026-20127.
- Revisar e seguir o guia de fortalecimento de sistemas (Hardening Guide) para os produtos Catalyst SD-WAN fornecido pela empresa.
- Monitorar operações atípicas dentro dos controladores, especialmente aquelas relacionadas a arquivos de sistema ou processos de injeção de código.
Este incidente ressalta a importância de atualizar periodicamente a infraestrutura de rede, visto que a dependência de privilégios de acesso válidos após a invasão inicial continua sendo um grande desafio para as ferramentas de defesa tradicionais.