El 28 de octubre de 2026, el equipo de amenazas documentó una sofisticada campaña de ciberespionaje ejecutada por el actor UAT-11473, el cual posee un solapamiento operativo significativo con la infraestructura de la red “Silent Train”, asociada al grupo patrocinado por el estado Volt Typhoon. La operación explota la vulnerabilidad crítica de evasión de autenticación CVE-2026-20127 para obtener acceso inicial a dispositivos Cisco SD-WAN Catalyst Controller y desplegar un framework de malware a medida denominado “KeyDrift”. Esta campaña ha impactado presuntamente a entidades críticas en los sectores de servicios espaciales, defensa e investigación de políticas públicas.
Análisis Técnico y Vectores de Riesgo
La complejidad de esta campaña radica en la post-explotación y el desarrollo de malware específico para sistemas operativos de red (Viptela OS/IOS XE SD-WAN).
- Vector de Acceso (CVE-2026-20127): El actor explota esta vulnerabilidad (que no requiere autenticación ni interacción del usuario) en la interfaz de gestión expuesta para obtener ejecución de comandos y modificar el sistema de archivos subyacente.
- Persistencia y Evasión (runit): Para sobrevivir a los reinicios, el atacante remonta el sistema de archivos raíz (/rootfs.rw) y altera los scripts del gestor de servicios runit. Esto desencadena una cadena donde el componente rsshd utiliza llamadas del sistema ptrace para inyectar código malicioso directamente en la memoria del proceso legítimo vdaemon.
- Control C2 In-Band (PolyFlame): El componente PolyFlame secuestra funciones de red (como recvfrom y sendto) mediante interposición del enlazador dinámico (API Hooking) para recibir comandos de control ocultos en el tráfico legítimo, evadiendo la detección perimetral de los firewalls.
- Extracción de Claves Criptográficas (LittleFilch): El módulo LittleFilch instala un gancho (hook) en la función SSL_read para interceptar el tráfico descifrado del Protocolo de Gestión de Superposición (OMP). Su objetivo es robar las claves simétricas IPsec AES-256, lo que permite al atacante descifrar de forma retrospectiva y activa las comunicaciones entre las sucursales de la red SD-WAN (Plano de Datos). Los datos robados se cifran localmente en el archivo /var/tmp/vdaemon.bin antes de ser exfiltrados simulando tráfico de aplicación DTLS 1.2.
Plan de Mitigación Operativa y Respuesta
- Caza de Amenazas (Threat Hunting): Auditar la fecha de modificación y el hash de los scripts de inicialización en /etc/service/ frente a una línea base de Cisco, y buscar en el directorio temporal la presencia del archivo de almacenamiento cifrado /var/tmp/vdaemon.bin. Se debe monitorizar los registros del sistema buscando anomalías como la invocación de ptrace() sobre el proceso vdaemon.
- Aislamiento Perimetral Inmediato: Garantizar mediante Listas de Control de Acceso (ACLs) que la interfaz de administración (puertos HTTPS/SSH) del controlador no esté accesible desde Internet (WAN) bajo ninguna circunstancia, permitiendo únicamente conexiones desde Jump Servers internos verificados.
- Respuesta a Incidentes (Contención Forense): Si se sospecha o confirma la infección (presencia de KeyDrift), no se debe reiniciar ni reinstalar el controlador inmediatamente, ya que esto destruiría evidencia volátil crítica en la memoria RAM necesaria para determinar qué claves fueron interceptadas.
- Revocación Criptográfica y Reconstrucción: En caso de compromiso confirmado, se debe coordinar con el fabricante la regeneración masiva de todo el material criptográfico, incluyendo certificados raíz (Root CAs), y forzar la re-negociación de asociaciones de seguridad (SA) entre todos los nodos de borde. El controlador afectado debe ser reconstruido desde una instalación limpia de fábrica (“Golden Image”) restaurando una configuración previa a la divulgación de la falla.
