Cisco Talos mengungkap keberadaan malware berbahaya bernama KeyDrift yang dirancang untuk mencuri material kunci enkripsi pada infrastruktur jaringan perusahaan. Temuan yang diumumkan pada 28 Oktober 2026 ini berkaitan dengan aktivitas kelompok ancaman UAT-11473 yang mengeksploitasi kerentanan kritis pada Cisco Catalyst SD-WAN. Malware tersebut dapat beroperasi di dalam proses pengendali jaringan, mempertahankan akses tersembunyi, dan mengumpulkan informasi sensitif terkait komunikasi antarperangkat. Perkembangan ini menjadi perhatian penting dalam industri TEKNOLOGI keamanan siber karena menunjukkan bahwa perlindungan jaringan tidak cukup hanya mengandalkan enkripsi. Perusahaan juga perlu memastikan perangkat pengelola jaringan terlindungi dari akses tidak sah.
Mengenal Ancaman KeyDrift terhadap Keamanan Jaringan Perusahaan
Para peneliti ancaman digital Cisco mengungkap KeyDrift sebagai perangkat lunak berbahaya yang dirancang menyerang pengendali jaringan. Malware yang ditemukan dikaitkan dengan aktivitas pelaku yang dilacak sebagai UAT-11473. Aktor ancaman yang dianalisis dilaporkan mengeksploitasi kerentanan autentikasi untuk memasuki infrastruktur jaringan tanpa izin. Ketika perangkat telah dikompromikan, penyerang memasang komponen malware khusus yang mendukung pengendalian sistem secara berkelanjutan. Temuan tersebut menjadi peringatan bagi organisasi yang menggunakan sistem SD-WAN.
Berbeda dari malware yang hanya menyerang komputer pengguna, KeyDrift dirancang menyusup ke sistem pengelolaan SD-WAN. Sasaran tersebut memiliki dampak keamanan yang berbeda. Dalam jaringan SD-WAN, pengendali berperan mengatur hubungan antarperangkat. Jika penyerang memperoleh kendali terhadap infrastruktur tersebut, informasi yang melewati proses pengelolaan jaringan berpotensi terekspos kepada pelaku. Dengan mempertimbangkan risiko ini, pengamanan pengendali SD-WAN harus menjadi prioritas perusahaan.
Kerentanan CVE-2026-20127 Menjadi Jalur Masuk Serangan KeyDrift
Aktivitas penyusupan yang ditemukan peneliti berkaitan dengan eksploitasi celah CVE-2026-20127. Celah keamanan ini memungkinkan terlewatinya pemeriksaan autentikasi. Apabila sistem belum mendapatkan perbaikan, penyerang jarak jauh berpotensi memperoleh akses dengan hak istimewa. Celah tersebut memiliki penilaian keparahan maksimum 10,0. Tingkat keparahan itu menegaskan pentingnya pemasangan pembaruan. Sebagai batasan penting, keberadaan kerentanan belum membuktikan setiap sistem telah disusupi.
Informasi mengenai celah tersebut sudah dipublikasikan Cisco pada Februari 2026. Perusahaan juga menyediakan pembaruan keamanan bagi versi terdampak. Akan tetapi, perangkat yang tidak mendapatkan penanganan sesuai rekomendasi tetap berpotensi menjadi sasaran. Sebagai langkah keamanan tambahan, organisasi sebaiknya melakukan investigasi terhadap akses tidak sah. Pemeriksaan tersebut diperlukan sebab pemasangan patch tidak menjamin sistem sebelumnya tidak pernah dikompromikan. Oleh karena itu, penanganan celah keamanan sebaiknya menjadi bagian dari proses respons insiden yang lebih menyeluruh.
PolyFlame dan LittleFilch Menjadi Komponen Penting KeyDrift
Menurut pengamatan tim keamanan Cisco, KeyDrift memiliki arsitektur yang terdiri atas sejumlah modul. Modul penting dalam kerangka malware tersebut adalah PolyFlame yang dapat disisipkan ke proses pengelolaan jaringan. Modul PolyFlame mendukung akses tersembunyi bagi penyerang. Dengan mekanisme akses yang dimilikinya, penyerang berpotensi menjalankan perintah pada sistem. Selain fungsi backdoor, modul ini berfungsi sebagai penghubung infrastruktur command-and-control. Karakteristik tersebut meningkatkan kebutuhan pemantauan proses jaringan.
Bagian berikutnya dari kerangka malware adalah LittleFilch yang dirancang mengekstraksi informasi enkripsi. Perangkat lunak LittleFilch bekerja pada proses pengendali yang telah dikompromikan. Melalui akses terhadap proses kontrol, malware mampu mengakses data sensitif pada tahap pemrosesan internal. Cisco Talos menilai, salah satu informasi yang diambil berisi data yang diperkirakan digunakan untuk enkripsi AES-256. Data kunci yang menjadi sasaran memerlukan penanganan dengan tingkat perlindungan tinggi. Namun demikian, keberhasilan pengiriman semua data kepada pelaku belum dapat dipastikan.
Dampak Malware KeyDrift terhadap Keamanan Komunikasi SD-WAN
Dalam infrastruktur perusahaan modern, enkripsi berfungsi menjaga kerahasiaan komunikasi. Teknologi tersebut melindungi data melalui proses penyandian. Meskipun enkripsi merupakan perlindungan penting, keamanan komunikasi juga bergantung pada perlindungan kuncinya. Jika material enkripsi berhasil dicuri, risiko terbukanya komunikasi tertentu dapat meningkat. Inilah sebabnya KeyDrift mendapat perhatian khusus dari peneliti keamanan.
Dalam mekanisme SD-WAN tertentu, perangkat edge dapat bertukar informasi kunci melalui pengendali. Perangkat pengelola komunikasi tersebut berperan dalam koordinasi komunikasi terenkripsi. Saat perangkat lunak berbahaya mengakses lingkungan internal, ancaman tidak hanya berasal dari penyadapan jaringan luar. Kondisi ini membuktikan perlunya pendekatan keamanan berlapis. Organisasi juga perlu melindungi sistem pengelolaan kunci serta mengevaluasi aktivitas yang menyimpang dari pola normal.
Hubungan Infrastruktur Serangan KeyDrift dengan Jaringan Silent Train
Peneliti keamanan Cisco menghubungkan penggunaan KeyDrift dengan kelompok ancaman UAT-11473. Berdasarkan pengamatan peneliti, kelompok tersebut terlihat menargetkan beberapa sektor strategis. Kategori target yang disebutkan meliputi sektor layanan ruang angkasa, industri pertahanan serta aerospace, serta organisasi analisis kebijakan strategis. Fokus pada sektor strategis tersebut menjadi perhatian dalam analisis operasi ancaman berkelanjutan. Perlu ditekankan, keberadaan sasaran dalam sektor tertentu tidak berarti setiap organisasi pada bidang itu telah terinfeksi.
Dalam penelitian lanjutan, Cisco Talos mengidentifikasi tumpang tindih yang kuat antara operasi UAT-11473 dan jaringan akses tersembunyi Silent Train. Infrastruktur tersebut telah muncul dalam penelitian mengenai kelompok Volt Typhoon. Namun demikian, Cisco Talos tidak menyatakan bahwa UAT-11473 merupakan Volt Typhoon. Perbedaan tersebut membantu menghindari kesimpulan yang terlalu jauh. Dalam investigasi serangan digital, penggunaan infrastruktur serupa memerlukan dukungan bukti tambahan sebelum atribusi dipastikan.
Rekomendasi Cisco untuk Mengamankan Infrastruktur SD-WAN
Cisco menyarankan organisasi untuk memprioritaskan perbaikan terhadap CVE-2026-20127. Pemasangan perbaikan keamanan membantu mengurangi peluang akses tanpa autentikasi. Selain melakukan pembaruan, perusahaan perlu memeriksa tanda aktivitas pascakompromi. Penilaian kondisi perangkat dapat mencakup peninjauan log autentikasi. Apabila ditemukan tanda penyusupan, organisasi sebaiknya segera mengaktifkan prosedur respons insiden. Pendekatan penanganan ini berpotensi mengurangi risiko gangguan berkelanjutan.
Sebagai langkah perlindungan tambahan, administrator sebaiknya meninjau rekomendasi penguatan sistem dari Cisco. Penerapan konfigurasi yang lebih ketat mendukung pengendalian komponen jaringan yang sensitif. Untuk membantu pemantauan ancaman, tersedia aturan Snort yang berkaitan dengan aktivitas KeyDrift. Aturan tersebut dapat digunakan sebagai bagian dari pemantauan jaringan. Walaupun signature telah tersedia, tidak adanya peringatan tidak menghilangkan kebutuhan pemeriksaan lain. Dalam proses pemulihan, tim keamanan dapat mengevaluasi penggantian kredensial dan kunci yang terdampak berdasarkan hasil investigasi dan panduan resmi. Ketika investigasi memerlukan dukungan vendor, administrator bisa meminta bantuan melalui layanan Cisco TAC.
Penelitian Cisco Menegaskan Pentingnya Pengamanan Sistem SD-WAN
Hasil investigasi Cisco terhadap kerangka malware KeyDrift memperlihatkan risiko serius terhadap sistem pengelolaan komunikasi. Melalui eksploitasi CVE-2026-20127, kelompok UAT-11473 berhasil menjalankan aktivitas penyusupan pada sistem terdampak. Arsitektur malware dengan kemampuan kendali dan pengumpulan informasi memperlihatkan sifat ancaman yang kompleks. Karena itu, organisasi perlu melengkapi pembaruan dengan pemeriksaan kompromi. Perkembangan TEKNOLOGI keamanan siber ini menunjukkan pentingnya strategi pertahanan berlapis. Menurut Anda, apakah perlindungan perangkat pengendali jaringan perlu mendapat prioritas lebih tinggi? Ceritakan pemikiran Anda mengenai pentingnya keamanan jaringan perusahaan.
