Cisco SD-WAN: il malware KeyDrift ruba chiavi dai controller

Su ARX News abbiamo già seguito la vulnerabilità CVE-2026-76504 di Cisco Catalyst SD-WAN Manager. Il 28 ottobre 2026 Cisco Talos ha descritto un altro caso sulla stessa piattaforma, con una vulnerabilità diversa e più vecchia, CVE-2026-20127: un gruppo che Talos chiama UAT-11473 l’ha sfruttata per installare sui controller SD-WAN KeyDrift, un framework di malware fatto per restare a lungo nel sistema e portare via il materiale crittografico che protegge il traffico tra le sedi.

Le fonti di questo articolo sono tre testate, ma il testo di The Hacker News non era disponibile: i dettagli vengono da SecurityWeek e BleepingComputer, che riprendono l’analisi di Talos. Quando le due divergono, lo indichiamo.

La vulnerabilità: CVE-2026-20127

• Prodotto: componenti controller di Cisco Catalyst SD-WAN; secondo BleepingComputer sono interessati Controller e Manager.
• Gravità: CVSS 10, il massimo.
• Pubblicazione e correzione: febbraio 2026.
• Effetto: secondo SecurityWeek un attaccante remoto, senza credenziali, aggira l’autenticazione di peering tra i componenti di controllo, ottiene diritti di amministratore e può modificare la configurazione della rete SD-WAN. BleepingComputer aggiunge che l’accesso permette di registrare peer non autorizzati.
• Sfruttamento precedente: qui le fonti non coincidono. BleepingComputer scrive che un altro gruppo, UAT-8616, sfrutta la falla come zero-day almeno dal 2023. SecurityWeek riporta invece che, secondo Lumen, Volt Typhoon la sfruttava entro la fine del 2025 e ha continuato a lungo dopo la pubblicazione di Cisco.

Come funziona KeyDrift

Secondo Talos, ripreso da entrambe le testate, KeyDrift lavora dentro i processi legittimi del piano di controllo, quindi vede i messaggi di controllo dopo che il controller li ha già decifrati. Ha due componenti principali, e Talos ha notato segni di sviluppo in corso, con nuovi meccanismi anti-debugging e diversi modi di camuffarsi da processi del sistema.

PolyFlame è la backdoor. BleepingComputer riporta che gira all’interno dei processi vdaemon, installata con script di avvio dei servizi modificati e un injector. Permette di:

• eseguire comandi con un componente in stile TinyShell;
• caricare e scaricare file;
• fare da nodo intermedio di comando e controllo (C2), inoltrando le comunicazioni tra il server dell’attaccante e altri host.

LittleFilch intercetta le sessioni di controllo. Secondo BleepingComputer aggancia la funzione SSL_read per leggere i messaggi già decifrati e, per una lista di nodi edge prestabiliti, estrae gli identificativi IP e un campo di 32 byte che Talos ritiene sia materiale di chiave AES-256 per l’IPsec del piano dati. I dati raccolti vengono cifrati con RSA, salvati in /var/tmp/vdaemon.bin e poi inviati agli attaccanti via UDP.

In pratica, chi ha queste chiavi può essere in grado di decifrare il traffico tra le sedi protetto dai tunnel IPsec della SD-WAN, se riesce anche a intercettarlo. Le fonti non dicono se questo sia avvenuto.

In termini MITRE ATT&CK, le tecniche descritte corrispondono a: T1190 (Exploit Public-Facing Application) per l’accesso iniziale, T1037 (Boot or Logon Initialization Scripts) per gli script di avvio modificati, T1055 (Process Injection) e T1036 (Masquerading) per l’esecuzione dentro vdaemon, T1622 (Debugger Evasion), T1090 (Proxy) per il ruolo di nodo intermedio, T1074 (Data Staged) per il file in /var/tmp e T1048 (Exfiltration Over Alternative Protocol) per l’invio via UDP.

Chi c’è dietro

Talos descrive UAT-11473 come un gruppo APT molto sofisticato che colpisce servizi spaziali e satellitari, tecnologie per difesa e aerospazio e centri di ricerca sulle politiche. Secondo SecurityWeek, Talos parla di attività «storica» senza indicare quando gli attacchi sono avvenuti.

Talos ritiene con alta confidenza che l’infrastruttura di UAT-11473 si sovrapponga in gran parte a Silent Train, la rete di catene effimere di dispositivi compromessi che Black Lotus Labs di Lumen attribuisce a Volt Typhoon. Talos però non dice che si tratti dello stesso gruppo, e SecurityWeek precisa che il rapporto di Lumen non cita né KeyDrift né UAT-11473.

Impatto per le aziende europee e italiane

Le vittime indicate sono soprattutto negli Stati Uniti e in settori come difesa, spazio e telecomunicazioni. Il caso però riguarda chiunque usi Cisco Catalyst SD-WAN: i controller sono il punto da cui passano configurazione e chiavi di tutta la rete geografica. Una compromissione non si vede dagli apparati delle sedi e, se le chiavi del piano dati sono state sottratte, la riservatezza del traffico tra le sedi non è più garantita anche dopo aver tolto il malware.

Per i soggetti NIS2, e in particolare per chi lavora con difesa, aerospazio, telecomunicazioni o sanità con più presidi collegati in SD-WAN, una compromissione del controller va trattata come incidente significativo e valutata per la notifica allo CSIRT Italia dell’ACN.

Cosa fare subito

1. Verifica l’aggiornamento: controlla che tutti i componenti Catalyst SD-WAN (Controller e Manager, compresi gli ambienti di disaster recovery) abbiano la correzione di febbraio 2026 per CVE-2026-20127. Le fonti non elencano le versioni: fai riferimento al bollettino Cisco.
2. Applica la guida di hardening che Cisco raccomanda per le installazioni Catalyst SD-WAN.
3. Cerca le tracce di KeyDrift sui controller:
   • il file /var/tmp/vdaemon.bin;
   • modifiche agli script di avvio dei servizi;
   • processi vdaemon anomali o duplicati;
   • traffico UDP in uscita dai controller verso destinazioni sconosciute.
4. Controlla i peer: rivedi l’elenco dei peer registrati e le modifiche recenti alla configurazione, alla ricerca di dispositivi che non riconosci.
5. Se trovi indizi di compromissione, considera esposte le chiavi del piano dati: ricostruisci i controller da immagini pulite, rigenera chiavi e certificati, conserva le prove prima di intervenire e valuta gli obblighi di notifica.
6. Isola la gestione: i controller non devono essere raggiungibili da Internet né da reti non fidate.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su Internet e quali hanno vulnerabilità note, così sai se componenti SD-WAN sono raggiungibili da fuori. ARX Sentry raccoglie i log dei firewall e degli altri dispositivi di rete in un collettore centrale, utile per individuare traffico in uscita insolito dai controller. ARX Horizon permette di consultare dal portale le vulnerabilità e di cercare gli indicatori di compromissione.

Ultimo aggiornamento: 29 ottobre 2026