Grup APT exploatează vulnerabilitate critică în controlerele Cisco SD-WAN

Cum funcționează KeyDrift în rețelele compromise?

Un grup de amenințări persistente avansate, identificat ca UAT-11473, a fost observat în timp ce exploatează o vulnerabilitate critică de ocolire a autentificării în controlerele Cisco Catalyst SD-WAN, pentru a instala malware personalizat. Defectul, urmărit ca CVE-2026-20127, a fost corectat de Cisco în februarie 2026.

Vulnerabilitatea permite atacatorilor la distanță să obțină acces neautorizat fără credentiale valide. UAT-11473 a folosit această breș pentru a desfășura KeyDrift, un cadru de malware la comandă, conceput pentru persistență pe termen lung și exfiltrare de date.

KeyDrift funcționează ca o platformă de malware modulară, adaptată pentru medii de tip enterprise. Stabilește prezențe persistente, evită detecția și comunică cu servere de comandă și control. Grupul folosește controlerul SD-WAN ca punct de plecare pentru penetrare mai adâncă a rețelei.

Ce ar trebui să facă operatorii de rețea acum?

Cisco a clasificat CVE-2026-20127 ca severitate maximă, din cauza ușurinței exploatarei și lipsei cerințelor de autentificare. Organizațiile care rulează controlere necorectate sunt expuse la risc imediat de compromis.

Operatorii de rețea ar trebui să verifice dacă controlerele Cisco SD-WAN sunt actualizate la corecția din februarie 2026. Echipele de securitate ar trebui să caute semne ale KeyDrift, inclusiv procese neobișnuite, sarcini programate și conexiuni ieșire către domenii necunoscute.

Cum exploatează UAT-11473 vulnerabilitatea din controlerele Cisco pentru a instala KeyDrift?

Descoperirea UAT-11473 evidențiază o tendință în creștere a grupurilor APT care vizează componentele de infrastructură de rețea. Pe măsură ce adoptarea SD-WAN se extinde, aceste controlere devintă ținte prioritare pentru acces inițial.

Este CVE-2026-20127 încă exploatabilă după corectare? Nu. Cisco a eliberat o corecție în februarie 2026 care închide vectorul de ocolire a autentificării. Sistemele care rulează ultima corecție nu mai sunt vulnerabile la acest defect specific.

Cum se deosebește KeyDrift de malware-ul comercial? KeyDrift este un cadru personalizat, dezvoltat specific pentru UAT-11473. Nu este distribuit pe scară largă și este conceput pentru operațiuni discrete, pe termen lung, nu pentru infecție în masă.