Cisco Talos mengungkap keberadaan malware berbahaya bernama KeyDrift yang dirancang untuk mencuri material kunci enkripsi pada infrastruktur jaringan perusahaan. Temuan yang diumumkan pada 28 Oktober 2026 ini berkaitan dengan aktivitas kelompok ancaman UAT-11473 yang mengeksploitasi kerentanan kritis pada Cisco Catalyst SD-WAN. Malware tersebut dapat beroperasi di dalam proses pengendali jaringan, mempertahankan akses tersembunyi, dan mengumpulkan informasi sensitif terkait komunikasi antarperangkat. Perkembangan ini menjadi perhatian penting dalam industri TEKNOLOGI keamanan siber karena menunjukkan bahwa perlindungan jaringan tidak cukup hanya mengandalkan enkripsi. Perusahaan juga perlu memastikan perangkat pengelola jaringan terlindungi dari akses tidak sah.
Penelitian Cisco Mengungkap Serangan Siber yang Menargetkan Sistem Pengendali Jaringan
Tim keamanan siber Cisco Talos menemukan KeyDrift sebagai kerangka malware khusus yang menargetkan Cisco SD-WAN. Malware yang ditemukan dikaitkan dengan aktivitas pelaku yang dilacak sebagai UAT-11473. Kelompok tersebut terindikasi menggunakan celah keamanan pada sistem login untuk memasuki infrastruktur jaringan tanpa izin. Ketika perangkat telah dikompromikan, penyerang memasang komponen malware khusus yang berupaya mempertahankan keberadaannya. Hasil analisis ini menjadi peringatan bagi organisasi yang menggunakan sistem SD-WAN.
Tidak seperti ancaman yang berfokus pada laptop karyawan, KeyDrift menargetkan komponen pengendali jaringan. Pemilihan komponen jaringan ini berpotensi memengaruhi kerahasiaan komunikasi antarwilayah. Dalam jaringan SD-WAN, pengendali membantu mendistribusikan informasi konektivitas. Jika penyerang memperoleh kendali terhadap infrastruktur tersebut, informasi yang melewati proses pengelolaan jaringan memerlukan perlindungan tambahan. Oleh sebab itu, pengamanan pengendali SD-WAN menjadi bagian penting dari strategi keamanan jaringan.
Kerentanan CVE-2026-20127 Menjadi Jalur Masuk Serangan KeyDrift
Operasi kelompok UAT-11473 menggunakan kelemahan keamanan yang tercatat sebagai CVE-2026-20127. Celah keamanan ini merupakan kelemahan authentication bypass. Apabila sistem belum mendapatkan perbaikan, penyerang jarak jauh dapat melewati mekanisme login yang seharusnya membatasi akses. Celah tersebut mendapat skor CVSS 10,0. Skor keamanan tersebut menjadi alasan untuk memprioritaskan mitigasi. Sebagai batasan penting, keberadaan kerentanan belum membuktikan setiap sistem telah disusupi.
Pengumuman awal mengenai CVE-2026-20127 dilakukan pada Februari 2026. Untuk mengurangi risiko, Cisco merilis pembaruan keamanan bagi versi terdampak. Namun demikian, perangkat yang belum diperbarui memerlukan perhatian khusus dari administrator. Di samping proses patching, organisasi sebaiknya melakukan investigasi terhadap akses tidak sah. Alasan utamanya adalah pemasangan patch tidak menjamin sistem sebelumnya tidak pernah dikompromikan. Berdasarkan pertimbangan tersebut, penanganan celah keamanan sebaiknya menjadi bagian dari proses respons insiden yang lebih menyeluruh.
Cara Malware KeyDrift Beroperasi dalam Sistem Cisco SD-WAN
Berdasarkan analisis Cisco Talos, KeyDrift mengandalkan perangkat lunak tambahan untuk menjalankan tugas tertentu. Salah satu komponen utamanya adalah PolyFlame yang dirancang berjalan bersama proses sistem yang sah. Modul PolyFlame mendukung akses tersembunyi bagi penyerang. Melalui kemampuan tersebut, penyerang dapat mengendalikan fungsi tertentu pada perangkat. PolyFlame juga dapat bertindak sebagai relay komunikasi. Fungsi yang terintegrasi tersebut memerlukan analisis keamanan di luar pemeriksaan aplikasi biasa.
Komponen lain yang ditemukan adalah LittleFilch yang memiliki kemampuan memperoleh data terkait kunci jaringan. Perangkat lunak LittleFilch beroperasi di dalam konteks layanan jaringan yang telah disusupi. Melalui akses terhadap proses kontrol, malware dapat mengamati informasi setelah didekripsi. Cisco Talos menilai, salah satu informasi yang diambil diduga berkaitan dengan kunci enkripsi AES-256. Data kunci yang menjadi sasaran sangat sensitif bagi keamanan jaringan. Meski fungsi malware sudah dianalisis, keberhasilan pengiriman semua data kepada pelaku tidak sepenuhnya terkonfirmasi.
Mengapa Material Kunci AES-256 Menjadi Sasaran Serangan Siber
Dalam infrastruktur perusahaan modern, enkripsi digunakan untuk mengamankan data selama transmisi. Mekanisme perlindungan ini melindungi data melalui proses penyandian. Namun demikian, keamanan komunikasi memerlukan pengelolaan material rahasia yang tepat. Ketika informasi kriptografi jatuh ke pihak tidak berwenang, risiko terbukanya komunikasi tertentu dapat meningkat. Kondisi tersebut menjelaskan mengapa KeyDrift mendapat perhatian khusus dari peneliti keamanan.
Pada arsitektur komunikasi Cisco yang dianalisis, perangkat edge memanfaatkan controller untuk distribusi material enkripsi. Pengendali tersebut menangani data yang diperlukan untuk koneksi antarlokasi. Saat perangkat lunak berbahaya mengakses lingkungan internal, ancaman tidak hanya berasal dari penyadapan jaringan luar. Kondisi ini menjelaskan mengapa enkripsi saja belum cukup. Organisasi juga perlu membatasi akses administratif serta memeriksa kemungkinan kompromi.
Hubungan Infrastruktur Serangan KeyDrift dengan Jaringan Silent Train
Cisco Talos mengaitkan penggunaan KeyDrift dengan aktor siber yang dilacak sebagai UAT-11473. Dari hasil analisis terhadap sasaran serangan, kelompok tersebut dilaporkan membidik organisasi dengan aktivitas sensitif. Bidang organisasi yang menjadi sasaran meliputi layanan antariksa dan satelit, industri pertahanan serta aerospace, serta lembaga kajian kebijakan. Pemilihan sasaran tersebut menunjukkan potensi kegiatan spionase siber. Perlu ditekankan, keberadaan sasaran dalam sektor tertentu tidak berarti setiap organisasi pada bidang itu telah terinfeksi.
Sebagai bagian dari analisis infrastruktur serangan, Cisco Talos mengidentifikasi tumpang tindih yang kuat antara operasi UAT-11473 dan infrastruktur covert access yang dikenal sebagai Silent Train. Infrastruktur tersebut telah muncul dalam penelitian mengenai kelompok Volt Typhoon. Meski hubungan teknis tersebut menarik, Cisco Talos tidak mengonfirmasi bahwa pelaku KeyDrift dan Volt Typhoon adalah kelompok identik. Perbedaan tersebut membantu menghindari kesimpulan yang terlalu jauh. Pada kegiatan threat intelligence, penggunaan infrastruktur serupa tidak selalu membuktikan kesamaan organisasi.
Langkah Melindungi Jaringan Perusahaan dari Malware KeyDrift
Dalam panduan penanganannya, Cisco mendorong administrator untuk memastikan seluruh komponen terdampak menggunakan versi yang telah diperbaiki. Pemasangan perbaikan keamanan bertujuan mencegah penyalahgunaan celah yang diketahui. Namun demikian, perusahaan harus mencari indikasi akses sebelumnya. Aktivitas investigasi ini meliputi evaluasi perubahan layanan sistem. Apabila ditemukan tanda penyusupan, organisasi harus melakukan penanganan sesuai kebijakan keamanan perusahaan. Proses respons yang terstruktur mendukung investigasi yang lebih menyeluruh.
Di samping evaluasi perangkat, administrator sebaiknya meninjau rekomendasi penguatan sistem dari Cisco. Penguatan keamanan tersebut mendukung pengendalian komponen jaringan yang sensitif. Sebagai dukungan deteksi, Cisco menerbitkan aturan Snort yang berkaitan dengan aktivitas KeyDrift. Kemampuan deteksi ini mendukung sistem pencegahan intrusi yang sesuai. Meski deteksi berbasis aturan bermanfaat, tidak adanya peringatan belum membuktikan tidak terjadi kompromi. Dalam proses pemulihan, tim keamanan dapat mengevaluasi penggantian kredensial dan kunci yang terdampak berdasarkan tingkat kompromi yang ditemukan. Ketika investigasi memerlukan dukungan vendor, administrator dapat menghubungi Cisco Technical Assistance Center.
Ancaman Pencurian Kunci Enkripsi Membutuhkan Perlindungan Berlapis
Hasil investigasi Cisco terhadap kerangka malware KeyDrift menjadi peringatan penting bagi keamanan jaringan perusahaan. Melalui eksploitasi CVE-2026-20127, kelompok UAT-11473 dilaporkan memperoleh akses tidak sah. Kombinasi modul backdoor serta pengumpul kunci menunjukkan risiko terhadap material enkripsi. Dengan mempertimbangkan ancaman tersebut, organisasi tidak cukup hanya memasang patch. Perkembangan TEKNOLOGI keamanan siber ini menegaskan kebutuhan melindungi proses pengelolaan kunci. Menurut Anda, apakah perlindungan perangkat pengendali jaringan perlu mendapat prioritas lebih tinggi? Bagikan pandangan Anda mengenai langkah melindungi infrastruktur digital dari serangan berkelanjutan.
