Cisco Talos mengungkap keberadaan malware berbahaya bernama KeyDrift yang dirancang untuk mencuri material kunci enkripsi pada infrastruktur jaringan perusahaan. Temuan yang diumumkan pada 28 Oktober 2026 ini berkaitan dengan aktivitas kelompok ancaman UAT-11473 yang mengeksploitasi kerentanan kritis pada Cisco Catalyst SD-WAN. Malware tersebut dapat beroperasi di dalam proses pengendali jaringan, mempertahankan akses tersembunyi, dan mengumpulkan informasi sensitif terkait komunikasi antarperangkat. Perkembangan ini menjadi perhatian penting dalam industri TEKNOLOGI keamanan siber karena menunjukkan bahwa perlindungan jaringan tidak cukup hanya mengandalkan enkripsi. Perusahaan juga perlu memastikan perangkat pengelola jaringan terlindungi dari akses tidak sah.
Penelitian Cisco Mengungkap Serangan Siber yang Menargetkan Sistem Pengendali Jaringan
Para peneliti ancaman digital Cisco mengungkap KeyDrift sebagai kerangka malware khusus yang menargetkan Cisco SD-WAN. Ancaman tersebut dikaitkan dengan aktivitas pelaku yang dilacak sebagai UAT-11473. Pelaku serangan ini dilaporkan mengeksploitasi kerentanan autentikasi untuk mengambil alih kemampuan administratif tertentu. Sesudah sistem berhasil dimasuki, penyerang memasang komponen malware khusus yang dirancang beroperasi dalam jangka panjang. Hasil analisis ini menjadi peringatan bagi organisasi yang menggunakan sistem SD-WAN.
Tidak seperti ancaman yang berfokus pada laptop karyawan, KeyDrift menargetkan komponen pengendali jaringan. Sasaran tersebut memiliki dampak keamanan yang berbeda. Pada infrastruktur Software-Defined Wide Area Network, pengendali membantu mendistribusikan informasi konektivitas. Apabila komponen tersebut disusupi, informasi yang melewati proses pengelolaan jaringan dapat menjadi sasaran pencurian. Karena alasan tersebut, pengamanan pengendali SD-WAN perlu diperhatikan oleh administrator.
Kerentanan CVE-2026-20127 Menjadi Jalur Masuk Serangan KeyDrift
Aktivitas penyusupan yang ditemukan peneliti menggunakan kelemahan keamanan yang tercatat sebagai CVE-2026-20127. Kerentanan tersebut merupakan kelemahan authentication bypass. Apabila sistem belum mendapatkan perbaikan, penyerang jarak jauh berpotensi memperoleh akses dengan hak istimewa. Kerentanan keamanan ini memiliki penilaian keparahan maksimum 10,0. Penilaian risiko tersebut menegaskan pentingnya pemasangan pembaruan. Sebagai batasan penting, keberadaan kerentanan perlu dibedakan dari bukti keberhasilan eksploitasi pada perangkat tertentu.
Informasi mengenai celah tersebut sudah dipublikasikan Cisco pada Februari 2026. Untuk mengurangi risiko, Cisco merilis perbaikan perangkat lunak yang diperlukan. Namun demikian, perangkat yang tidak mendapatkan penanganan sesuai rekomendasi memerlukan perhatian khusus dari administrator. Sebagai langkah keamanan tambahan, organisasi harus mengevaluasi riwayat aktivitas mencurigakan. Alasan utamanya adalah pemasangan patch tidak menjamin sistem sebelumnya tidak pernah dikompromikan. Oleh karena itu, penanganan celah keamanan harus disertai evaluasi kondisi perangkat.
Cara Malware KeyDrift Beroperasi dalam Sistem Cisco SD-WAN
Berdasarkan analisis Cisco Talos, KeyDrift mengandalkan perangkat lunak tambahan untuk menjalankan tugas tertentu. Modul penting dalam kerangka malware tersebut adalah PolyFlame yang dapat disisipkan ke proses pengelolaan jaringan. Komponen tersebut memiliki kemampuan backdoor. Dengan mekanisme akses yang dimilikinya, penyerang berpotensi menjalankan perintah pada sistem. Di samping menyediakan akses tersembunyi, PolyFlame berfungsi sebagai penghubung infrastruktur command-and-control. Kemampuan operasional ini memerlukan analisis keamanan di luar pemeriksaan aplikasi biasa.
Modul tambahan dalam KeyDrift adalah LittleFilch yang berfokus pada pengumpulan material kunci. Modul tersebut bekerja pada proses pengendali yang telah dikompromikan. Berkat keberadaannya di lingkungan pengendali, malware berpotensi membaca bagian komunikasi yang sudah diproses. Cisco Talos menilai, salah satu informasi yang diambil berisi data yang diperkirakan digunakan untuk enkripsi AES-256. Material kriptografi itu memiliki peran penting dalam perlindungan komunikasi. Namun demikian, keberhasilan pengiriman semua data kepada pelaku masih memiliki keterbatasan bukti dalam laporan penelitian.
Pencurian Kunci Enkripsi Menimbulkan Risiko bagi Jaringan Perusahaan
Ketika bisnis menghubungkan beberapa lokasi operasional, enkripsi berfungsi menjaga kerahasiaan komunikasi. Mekanisme perlindungan ini mengubah informasi menjadi bentuk yang tidak mudah dibaca. Walaupun algoritma kriptografi yang kuat digunakan, keamanan komunikasi memerlukan pengelolaan material rahasia yang tepat. Apabila kunci berhasil diperoleh penyerang, risiko terbukanya komunikasi tertentu dapat meningkat. Inilah sebabnya KeyDrift mendapat perhatian khusus dari peneliti keamanan.
Melalui sistem pengelolaan lalu lintas jaringan, perangkat edge menggunakan sistem kontrol dalam pembentukan koneksi aman. Komponen kontrol jaringan ini berperan dalam koordinasi komunikasi terenkripsi. Saat perangkat lunak berbahaya mengakses lingkungan internal, ancaman berpotensi memanfaatkan informasi yang tersedia di dalam layanan sah. Kondisi ini menjelaskan mengapa enkripsi saja belum cukup. Organisasi juga perlu melindungi sistem pengelolaan kunci serta mengidentifikasi perilaku tidak biasa.
Hubungan Infrastruktur Serangan KeyDrift dengan Jaringan Silent Train
Dalam hasil investigasinya, Cisco Talos mengidentifikasi penggunaan KeyDrift dengan operasi kelompok penyerang UAT-11473. Dari hasil analisis terhadap sasaran serangan, kelompok tersebut memperlihatkan ketertarikan pada industri tertentu. Kategori target yang disebutkan meliputi layanan antariksa dan satelit, organisasi bidang pertahanan dan penerbangan, serta lembaga kajian kebijakan. Karakteristik target ini menunjukkan potensi kegiatan spionase siber. Namun demikian, keberadaan sasaran dalam sektor tertentu harus dibedakan dari daftar korban yang telah terkonfirmasi.
Melalui pemeriksaan hubungan antarserver dan perangkat, Cisco Talos melaporkan hubungan infrastruktur yang cukup besar antara operasi UAT-11473 dan jaringan akses tersembunyi Silent Train. Sistem perantara komunikasi itu telah muncul dalam penelitian mengenai kelompok Volt Typhoon. Meski hubungan teknis tersebut menarik, Cisco Talos tidak menyatakan bahwa UAT-11473 merupakan Volt Typhoon. Batasan atribusi ini membantu menghindari kesimpulan yang terlalu jauh. Pada kegiatan threat intelligence, penggunaan infrastruktur serupa memerlukan dukungan bukti tambahan sebelum atribusi dipastikan.
Rekomendasi Cisco untuk Mengamankan Infrastruktur SD-WAN
Dalam panduan penanganannya, Cisco mendorong administrator untuk memprioritaskan perbaikan terhadap CVE-2026-20127. Langkah patching ini membantu mengurangi peluang akses tanpa autentikasi. Namun demikian, perusahaan sebaiknya menjalankan evaluasi terhadap kemungkinan infeksi. Aktivitas investigasi ini meliputi evaluasi perubahan layanan sistem. Jika terdapat indikasi kompromi, organisasi perlu melibatkan tim keamanan yang berwenang. Pendekatan penanganan ini mendukung investigasi yang lebih menyeluruh.
Selain pemeriksaan internal, administrator perlu menerapkan konfigurasi pengamanan resmi. Proses hardening ini mendukung pengendalian komponen jaringan yang sensitif. Untuk membantu pemantauan ancaman, tersedia aturan Snort yang membantu mendeteksi pola komunikasi berbahaya. Signature keamanan tersebut berpotensi membantu identifikasi aktivitas mencurigakan. Namun demikian, tidak adanya peringatan bukan jaminan perangkat bebas infeksi. Organisasi juga dapat memeriksa apakah informasi kriptografi perlu diperbarui berdasarkan rekomendasi penanganan dari tim keamanan terkait. Ketika investigasi memerlukan dukungan vendor, administrator dapat menghubungi Cisco Technical Assistance Center.
Penelitian Cisco Menegaskan Pentingnya Pengamanan Sistem SD-WAN
Pengungkapan aktivitas KeyDrift pada Cisco SD-WAN menjadi peringatan penting bagi keamanan jaringan perusahaan. Dengan memanfaatkan celah autentikasi kritis, kelompok UAT-11473 dilaporkan memperoleh akses tidak sah. Komponen PolyFlame dan LittleFilch menunjukkan risiko terhadap material enkripsi. Oleh sebab itu, organisasi tidak cukup hanya memasang patch. Temuan terbaru dalam analisis ancaman digital menunjukkan pentingnya strategi pertahanan berlapis. Menurut Anda, apakah ancaman seperti KeyDrift akan mendorong peningkatan investasi keamanan siber? Ceritakan pemikiran Anda mengenai langkah melindungi infrastruktur digital dari serangan berkelanjutan.
