Cisco Talos mengungkap keberadaan malware berbahaya bernama KeyDrift yang dirancang untuk mencuri material kunci enkripsi pada infrastruktur jaringan perusahaan. Temuan yang diumumkan pada 28 Oktober 2026 ini berkaitan dengan aktivitas kelompok ancaman UAT-11473 yang mengeksploitasi kerentanan kritis pada Cisco Catalyst SD-WAN. Malware tersebut dapat beroperasi di dalam proses pengendali jaringan, mempertahankan akses tersembunyi, dan mengumpulkan informasi sensitif terkait komunikasi antarperangkat. Perkembangan ini menjadi perhatian penting dalam industri TEKNOLOGI keamanan siber karena menunjukkan bahwa perlindungan jaringan tidak cukup hanya mengandalkan enkripsi. Perusahaan juga perlu memastikan perangkat pengelola jaringan terlindungi dari akses tidak sah.
Penelitian Cisco Mengungkap Serangan Siber yang Menargetkan Sistem Pengendali Jaringan
Tim keamanan siber Cisco Talos menemukan KeyDrift sebagai kerangka malware khusus yang menargetkan Cisco SD-WAN. Malware yang ditemukan diidentifikasi dalam operasi kelompok ancaman UAT-11473. Kelompok tersebut dilaporkan mengeksploitasi kerentanan autentikasi untuk memasuki infrastruktur jaringan tanpa izin. Setelah akses diperoleh, penyerang memasang komponen malware khusus yang mendukung pengendalian sistem secara berkelanjutan. Penelitian keamanan tersebut menjadi peringatan bagi organisasi yang menggunakan sistem SD-WAN.
Dibandingkan dengan perangkat lunak berbahaya pada endpoint biasa, KeyDrift dirancang menyusup ke sistem pengelolaan SD-WAN. Pendekatan serangan tersebut berpotensi memengaruhi kerahasiaan komunikasi antarwilayah. Dalam jaringan SD-WAN, pengendali membantu mendistribusikan informasi konektivitas. Apabila komponen tersebut disusupi, informasi yang digunakan untuk membangun koneksi aman berpotensi terekspos kepada pelaku. Karena alasan tersebut, pengamanan pengendali SD-WAN menjadi bagian penting dari strategi keamanan jaringan.
Kerentanan CVE-2026-20127 Menjadi Jalur Masuk Serangan KeyDrift
Serangan yang dianalisis Cisco berkaitan dengan eksploitasi celah CVE-2026-20127. Kerentanan tersebut memungkinkan terlewatinya pemeriksaan autentikasi. Ketika perangkat masih menggunakan versi terdampak, penyerang jarak jauh mungkin mendapatkan kendali administratif tanpa autentikasi normal. Masalah autentikasi tersebut memiliki penilaian keparahan maksimum 10,0. Penilaian risiko tersebut menunjukkan perlunya penanganan segera. Sebagai batasan penting, keberadaan kerentanan belum membuktikan setiap sistem telah disusupi.
Pengumuman awal mengenai CVE-2026-20127 dilakukan pada Februari 2026. Sebagai langkah penanganan, Cisco menerbitkan perbaikan perangkat lunak yang diperlukan. Meski perbaikan tersedia, perangkat yang belum diperbarui dapat menghadapi risiko eksploitasi. Selain pembaruan, organisasi sebaiknya melakukan investigasi terhadap akses tidak sah. Hal ini penting karena pemasangan patch tidak menjamin sistem sebelumnya tidak pernah dikompromikan. Oleh karena itu, penanganan celah keamanan sebaiknya menjadi bagian dari proses respons insiden yang lebih menyeluruh.
PolyFlame dan LittleFilch Menjadi Komponen Penting KeyDrift
Berdasarkan analisis Cisco Talos, KeyDrift memiliki arsitektur yang terdiri atas sejumlah modul. Modul penting dalam kerangka malware tersebut adalah PolyFlame yang beroperasi di dalam memori proses pengendali. Komponen tersebut mendukung akses tersembunyi bagi penyerang. Dengan mekanisme akses yang dimilikinya, penyerang dapat mengendalikan fungsi tertentu pada perangkat. Selain fungsi backdoor, modul ini mampu meneruskan perintah antarperangkat. Fungsi yang terintegrasi tersebut memerlukan analisis keamanan di luar pemeriksaan aplikasi biasa.
Bagian berikutnya dari kerangka malware adalah LittleFilch yang memiliki kemampuan memperoleh data terkait kunci jaringan. Komponen pengumpulan informasi ini beroperasi di dalam konteks layanan jaringan yang telah disusupi. Dengan berada pada posisi tersebut, malware mampu mengakses data sensitif pada tahap pemrosesan internal. Berdasarkan evaluasi teknis yang dilakukan, salah satu informasi yang diambil berisi data yang diperkirakan digunakan untuk enkripsi AES-256. Informasi tersebut memiliki peran penting dalam perlindungan komunikasi. Namun demikian, keberhasilan pengiriman semua data kepada pelaku masih memiliki keterbatasan bukti dalam laporan penelitian.
Dampak Malware KeyDrift terhadap Keamanan Komunikasi SD-WAN
Dalam infrastruktur perusahaan modern, enkripsi digunakan untuk mengamankan data selama transmisi. Teknologi tersebut melindungi data melalui proses penyandian. Walaupun algoritma kriptografi yang kuat digunakan, keamanan komunikasi memerlukan pengelolaan material rahasia yang tepat. Ketika informasi kriptografi jatuh ke pihak tidak berwenang, risiko terbukanya komunikasi tertentu dapat meningkat. Hal tersebut menjadi alasan bahwa KeyDrift mendapat perhatian khusus dari peneliti keamanan.
Melalui sistem pengelolaan lalu lintas jaringan, perangkat edge dapat bertukar informasi kunci melalui pengendali. Perangkat pengelola komunikasi tersebut menangani data yang diperlukan untuk koneksi antarlokasi. Saat perangkat lunak berbahaya mengakses lingkungan internal, ancaman dapat muncul dari akses terhadap data setelah diproses. Kondisi ini menegaskan pentingnya pengamanan infrastruktur pengelola kunci. Organisasi juga perlu membatasi akses administratif serta mengidentifikasi perilaku tidak biasa.
Cisco Mengungkap Kelompok UAT-11473 dan Target Serangan KeyDrift
Dalam hasil investigasinya, Cisco Talos mengidentifikasi penggunaan KeyDrift dengan operasi kelompok penyerang UAT-11473. Berdasarkan pengamatan peneliti, kelompok tersebut terlihat menargetkan beberapa sektor strategis. Sektor yang diamati meliputi layanan antariksa dan satelit, pertahanan dan teknologi kedirgantaraan, serta organisasi analisis kebijakan strategis. Karakteristik target ini menjadi perhatian dalam analisis operasi ancaman berkelanjutan. Perlu ditekankan, keberadaan sasaran dalam sektor tertentu tidak berarti setiap organisasi pada bidang itu telah terinfeksi.
Dalam penelitian lanjutan, Cisco Talos melaporkan hubungan infrastruktur yang cukup besar antara operasi UAT-11473 dan infrastruktur covert access yang dikenal sebagai Silent Train. Infrastruktur tersebut telah muncul dalam penelitian mengenai kelompok Volt Typhoon. Walaupun terdapat kesamaan infrastruktur, Cisco Talos tidak menyatakan bahwa UAT-11473 merupakan Volt Typhoon. Batasan atribusi ini penting untuk menjaga ketepatan informasi. Dalam keamanan siber, penggunaan infrastruktur serupa memerlukan dukungan bukti tambahan sebelum atribusi dipastikan.
Cara Mengurangi Risiko Serangan terhadap Kunci Enkripsi Perusahaan
Tim keamanan Cisco merekomendasikan perusahaan untuk memastikan seluruh komponen terdampak menggunakan versi yang telah diperbaiki. Langkah patching ini bertujuan mencegah penyalahgunaan celah yang diketahui. Di samping menutup kerentanan, perusahaan sebaiknya menjalankan evaluasi terhadap kemungkinan infeksi. Penilaian kondisi perangkat dapat mencakup peninjauan log autentikasi. Apabila ditemukan tanda penyusupan, organisasi perlu melibatkan tim keamanan yang berwenang. Proses respons yang terstruktur mendukung investigasi yang lebih menyeluruh.
Selain pemeriksaan internal, administrator perlu menerapkan konfigurasi pengamanan resmi. Penerapan konfigurasi yang lebih ketat membantu membatasi jalur akses yang tidak diperlukan. Sebagai dukungan deteksi, Cisco menerbitkan aturan Snort yang berkaitan dengan aktivitas KeyDrift. Signature keamanan tersebut berpotensi membantu identifikasi aktivitas mencurigakan. Meski deteksi berbasis aturan bermanfaat, tidak adanya peringatan bukan jaminan perangkat bebas infeksi. Organisasi juga dapat mengevaluasi penggantian kredensial dan kunci yang terdampak berdasarkan rekomendasi penanganan dari tim keamanan terkait. Jika ditemukan tanda serangan yang sulit ditangani, administrator sebaiknya membuka permintaan dukungan kepada Cisco TAC.
Kesimpulan: KeyDrift Menjadi Peringatan Keamanan Infrastruktur Jaringan
Pengungkapan aktivitas KeyDrift pada Cisco SD-WAN memperlihatkan risiko serius terhadap sistem pengelolaan komunikasi. Melalui eksploitasi CVE-2026-20127, kelompok UAT-11473 dilaporkan memperoleh akses tidak sah. Komponen PolyFlame dan LittleFilch menunjukkan risiko terhadap material enkripsi. Dengan mempertimbangkan ancaman tersebut, organisasi harus menerapkan pengamanan serta pemantauan berkelanjutan. Temuan terbaru dalam analisis ancaman digital menegaskan kebutuhan melindungi proses pengelolaan kunci. Bagaimana pendapat Anda, apakah ancaman seperti KeyDrift akan mendorong peningkatan investasi keamanan siber? Sampaikan pendapat Anda mengenai langkah melindungi infrastruktur digital dari serangan berkelanjutan.
