Atualização da investigação revela detalhes do KeyDrift, utilizado em ataques à infraestrutura Cisco, e amplia o alerta sobre a proteção e a gestão de chaves AES-256
A investigação sobre ataques à infraestrutura Cisco Catalyst SD-WAN ganhou novos desdobramentos com a divulgação de detalhes técnicos sobre o malware KeyDrift, desenvolvido para capturar informações associadas às chaves criptográficas utilizadas na comunicação entre roteadores.
O Crypto ID já havia noticiado a exploração de uma vulnerabilidade crítica em equipamentos Cisco e a descoberta de ferramentas maliciosas direcionadas ao material criptográfico da rede. Agora, as informações divulgadas pela Cisco Talos aprofundam o conhecimento sobre o funcionamento do ataque, os setores visados e os possíveis riscos à confidencialidade das comunicações.
Leia também: Quando o alvo é a chave: hackers usam malware KeyDrift para capturar material criptográfico em redes Cisco
Malware intercepta informações após a descriptografia
Segundo o relatório técnico publicado pela Cisco Talos em 28 de outubro de 2026, o grupo identificado como UAT-11473 explorou a vulnerabilidade CVE-2026-20127, classificada com pontuação máxima de gravidade, 10,0, para obter acesso não autorizado a componentes de controle do Cisco Catalyst SD-WAN.
A vulnerabilidade permite contornar mecanismos de autenticação e alcançar privilégios elevados. Uma vez dentro da infraestrutura, os invasores instalaram o KeyDrift, conjunto de ferramentas maliciosas desenvolvido para operar nos processos responsáveis pelo funcionamento e pela comunicação dos equipamentos.
Entre seus componentes está o LittleFilch, identificado pelos pesquisadores como um módulo capaz de interceptar informações de sessões de controle após sua descriptografia.
O malware utiliza uma técnica de interceptação da função SSL_read, empregada para ler dados de conexões protegidas. Dessa forma, consegue examinar informações já descriptografadas dentro do processo vdaemon, sem precisar quebrar a criptografia utilizada na transmissão.
Durante a análise, os pesquisadores identificaram a captura de um campo de 32 bytes, associado a endereços e identificadores dos roteadores. A Cisco Talos avalia que esse campo corresponde a material de chave AES-256 utilizado na proteção do tráfego IPsec entre equipamentos da rede.
O que acontece com o material criptográfico capturado?
O LittleFilch foi desenvolvido para registrar os dados extraídos, criptografá-los com RSA e armazená-los em um arquivo identificado como /var/tmp/vdaemon.bin.
O componente também possui capacidade de transmitir essas informações por UDP para um destino configurado pelos invasores.
Entretanto, a Cisco Talos não confirmou que as chaves tenham sido efetivamente exfiltradas. Os pesquisadores também não conseguiram recuperar o arquivo de configuração que indicaria o destino da transmissão.
A investigação comprova a existência de um mecanismo desenvolvido para capturar material criptográfico, mas não estabelece que esse material tenha chegado às mãos dos atacantes.
Por que o ataque às chaves criptográficas é especialmente preocupante?
O aspecto mais relevante do caso está na escolha do alvo.
Em uma arquitetura SD-WAN, os roteadores utilizam mecanismos criptográficos para proteger as comunicações entre diferentes pontos da infraestrutura. No modelo analisado pela Cisco, os controladores participam da distribuição do material necessário à proteção dessas conexões.
O comprometimento de um componente responsável por essa distribuição pode expor informações sensíveis, mesmo quando os algoritmos criptográficos continuam matematicamente seguros.
O caso não demonstra uma vulnerabilidade no AES-256. Demonstra que a segurança das comunicações também depende da proteção dos ambientes nos quais as chaves são distribuídas e utilizadas.
Se um invasor consegue acessar material criptográfico válido, a confidencialidade das comunicações protegidas por esse material pode ser comprometida, dependendo das condições de uso das chaves e dos dados de tráfego disponíveis ao atacante.
A investigação também coloca em discussão a capacidade das organizações de identificar quais chaves podem ter sido expostas, determinar seu período de validade e executar procedimentos de substituição após um incidente.
Ataques atingiram setores estratégicos
A Cisco Talos identificou atividades do UAT-11473 direcionadas a organizações dos setores de serviços espaciais e satélites, defesa, tecnologia aeroespacial e pesquisa em políticas públicas.
Os pesquisadores também encontraram sobreposição significativa entre a infraestrutura operacional utilizada pelo grupo e a rede clandestina conhecida como Silent Train, associada a operações do Volt Typhoon.
A Talos atribui alta confiança à identificação dessa sobreposição de infraestrutura, mas não afirma que UAT-11473 e Volt Typhoon sejam o mesmo grupo.
Essa diferenciação impede que uma associação técnica entre infraestruturas seja apresentada como identificação definitiva dos responsáveis.
Atualização dos sistemas é necessária, mas pode não encerrar o incidente
A Cisco disponibilizou correções para a vulnerabilidade CVE-2026-20127 e recomenda que as organizações atualizem os componentes afetados, adotem as orientações de fortalecimento de segurança e monitorem possíveis sinais de comprometimento.
Não existe uma solução alternativa que substitua a atualização para corrigir a vulnerabilidade. Medidas de restrição de acesso podem reduzir a exposição enquanto a correção é planejada, mas não eliminam uma eventual infecção já instalada.
Para ambientes nos quais houver evidências de comprometimento, a investigação deve considerar também a integridade dos controladores, a persistência de componentes maliciosos e a possível exposição de material criptográfico.
A simples aplicação de uma atualização não comprova, por si só, que um sistema anteriormente comprometido esteja livre de mecanismos de persistência.
O desafio vai além da correção da vulnerabilidade
O caso Cisco amplia uma discussão central para a segurança das infraestruturas digitais: a necessidade de proteger não apenas os algoritmos criptográficos, mas todo o ciclo de vida das chaves.
Isso envolve geração, distribuição, armazenamento, utilização, monitoramento, substituição e destruição segura do material criptográfico.
Em situações nas quais exista suspeita de exposição de chaves, a resposta técnica precisa avaliar quais comunicações poderiam ter sido afetadas, se o material comprometido ainda está em uso e quais procedimentos são necessários para restabelecer a confiança na infraestrutura.
A investigação da Cisco Talos não apresenta uma conclusão definitiva sobre a exfiltração das chaves nem sobre o eventual comprometimento de comunicações anteriores.
Ainda assim, o KeyDrift oferece um exemplo concreto de uma ameaça direcionada à infraestrutura que sustenta a criptografia das redes corporativas.
O episódio evidencia que a robustez de um algoritmo, isoladamente, não garante a segurança dos dados quando os sistemas responsáveis por administrar suas chaves podem ser comprometidos.
Criptografia Forte é o Padrão que Mantém Bilhões de Pessoas Seguras Todos os Dias! Leia sobre Criptografia no canal que fala a sua língua! Acesse agora mesmo!
