Cisco Talos mengungkap keberadaan malware berbahaya bernama KeyDrift yang dirancang untuk mencuri material kunci enkripsi pada infrastruktur jaringan perusahaan. Temuan yang diumumkan pada 28 Oktober 2026 ini berkaitan dengan aktivitas kelompok ancaman UAT-11473 yang mengeksploitasi kerentanan kritis pada Cisco Catalyst SD-WAN. Malware tersebut dapat beroperasi di dalam proses pengendali jaringan, mempertahankan akses tersembunyi, dan mengumpulkan informasi sensitif terkait komunikasi antarperangkat. Perkembangan ini menjadi perhatian penting dalam industri TEKNOLOGI keamanan siber karena menunjukkan bahwa perlindungan jaringan tidak cukup hanya mengandalkan enkripsi. Perusahaan juga perlu memastikan perangkat pengelola jaringan terlindungi dari akses tidak sah.
Penelitian Cisco Mengungkap Serangan Siber yang Menargetkan Sistem Pengendali Jaringan
Cisco Talos mengidentifikasi KeyDrift sebagai kerangka malware khusus yang menargetkan Cisco SD-WAN. Perangkat lunak berbahaya ini dikaitkan dengan aktivitas pelaku yang dilacak sebagai UAT-11473. Pelaku serangan ini dilaporkan mengeksploitasi kerentanan autentikasi untuk memperoleh akses tidak sah. Sesudah sistem berhasil dimasuki, penyerang memasang komponen malware khusus yang dirancang beroperasi dalam jangka panjang. Hasil analisis ini memperlihatkan risiko serangan pada infrastruktur inti.
Tidak seperti ancaman yang berfokus pada laptop karyawan, KeyDrift menargetkan komponen pengendali jaringan. Pendekatan serangan tersebut berpotensi memengaruhi kerahasiaan komunikasi antarwilayah. Pada infrastruktur Software-Defined Wide Area Network, pengendali berperan mengatur hubungan antarperangkat. Ketika sistem pengendali berhasil dikompromikan, informasi yang digunakan untuk membangun koneksi aman dapat menjadi sasaran pencurian. Oleh sebab itu, pengamanan pengendali SD-WAN harus menjadi prioritas perusahaan.
Celah Autentikasi Cisco SD-WAN Dimanfaatkan Kelompok UAT-11473
Aktivitas penyusupan yang ditemukan peneliti menggunakan kelemahan keamanan yang tercatat sebagai CVE-2026-20127. Celah keamanan ini berkaitan dengan kegagalan pembatasan akses berdasarkan identitas. Ketika perangkat masih menggunakan versi terdampak, penyerang jarak jauh dapat melewati mekanisme login yang seharusnya membatasi akses. Masalah autentikasi tersebut mendapat skor CVSS 10,0. Skor keamanan tersebut menunjukkan perlunya penanganan segera. Perlu dipahami, keberadaan kerentanan tidak berarti seluruh perangkat otomatis terinfeksi.
Informasi mengenai celah tersebut sudah dipublikasikan Cisco pada Februari 2026. Sebagai langkah penanganan, Cisco menerbitkan rilis sistem yang mengatasi kelemahan tersebut. Meski perbaikan tersedia, perangkat yang belum diperbarui dapat menghadapi risiko eksploitasi. Selain pembaruan, organisasi sebaiknya melakukan investigasi terhadap akses tidak sah. Pemeriksaan tersebut diperlukan sebab pemasangan patch tidak otomatis menghapus malware yang sudah tertanam. Berdasarkan pertimbangan tersebut, penanganan celah keamanan harus disertai evaluasi kondisi perangkat.
PolyFlame dan LittleFilch Menjadi Komponen Penting KeyDrift
Menurut pengamatan tim keamanan Cisco, KeyDrift memiliki arsitektur yang terdiri atas sejumlah modul. Modul penting dalam kerangka malware tersebut adalah PolyFlame yang dapat disisipkan ke proses pengelolaan jaringan. Perangkat lunak berbahaya ini dapat mempertahankan jalur kendali tidak sah. Melalui kemampuan tersebut, penyerang mampu menggunakan perangkat yang telah terinfeksi sebagai perantara komunikasi. Selain fungsi backdoor, modul ini mampu meneruskan perintah antarperangkat. Fungsi yang terintegrasi tersebut membuat deteksi menjadi lebih menantang.
Bagian berikutnya dari kerangka malware adalah LittleFilch yang memiliki kemampuan memperoleh data terkait kunci jaringan. Perangkat lunak LittleFilch memanfaatkan akses ke lingkungan pengolahan lalu lintas kontrol. Dengan berada pada posisi tersebut, malware dapat mengamati informasi setelah didekripsi. Menurut penilaian peneliti keamanan, salah satu informasi yang diambil diduga berkaitan dengan kunci enkripsi AES-256. Data kunci yang menjadi sasaran memerlukan penanganan dengan tingkat perlindungan tinggi. Walaupun kemampuan pengumpulan telah diidentifikasi, keberhasilan pengiriman semua data kepada pelaku masih memiliki keterbatasan bukti dalam laporan penelitian.
Pencurian Kunci Enkripsi Menimbulkan Risiko bagi Jaringan Perusahaan
Ketika bisnis menghubungkan beberapa lokasi operasional, enkripsi digunakan untuk mengamankan data selama transmisi. Teknologi tersebut melindungi data melalui proses penyandian. Namun demikian, keamanan komunikasi juga bergantung pada perlindungan kuncinya. Jika material enkripsi berhasil dicuri, risiko terganggunya kerahasiaan data perlu dipertimbangkan. Kondisi tersebut menjelaskan mengapa KeyDrift mendapat perhatian khusus dari peneliti keamanan.
Dalam mekanisme SD-WAN tertentu, perangkat edge memanfaatkan controller untuk distribusi material enkripsi. Pengendali tersebut menangani data yang diperlukan untuk koneksi antarlokasi. Apabila komponen kontrol telah disusupi, ancaman tidak hanya berasal dari penyadapan jaringan luar. Kondisi ini membuktikan perlunya pendekatan keamanan berlapis. Sebagai bagian dari perlindungan tambahan, perusahaan harus membatasi akses administratif serta mengevaluasi aktivitas yang menyimpang dari pola normal.
Aktivitas Ancaman terhadap Industri Strategis dan Infrastruktur Penting
Peneliti keamanan Cisco menghubungkan penggunaan KeyDrift dengan kelompok ancaman UAT-11473. Dari hasil analisis terhadap sasaran serangan, kelompok tersebut dilaporkan membidik organisasi dengan aktivitas sensitif. Kategori target yang disebutkan meliputi layanan antariksa dan satelit, industri pertahanan serta aerospace, serta penelitian kebijakan. Karakteristik target ini menjadi perhatian dalam analisis operasi ancaman berkelanjutan. Namun demikian, keberadaan sasaran dalam sektor tertentu bukan bukti semua perusahaan terkait menjadi korban.
Melalui pemeriksaan hubungan antarserver dan perangkat, Cisco Talos melaporkan hubungan infrastruktur yang cukup besar antara operasi UAT-11473 dan jaringan akses tersembunyi Silent Train. Sistem perantara komunikasi itu pernah dikaitkan dengan aktivitas Volt Typhoon. Namun demikian, Cisco Talos belum memastikan kedua kelompok memiliki identitas yang sama. Perbedaan tersebut membantu menghindari kesimpulan yang terlalu jauh. Dalam investigasi serangan digital, penggunaan infrastruktur serupa belum cukup untuk menetapkan identitas pelaku.
Rekomendasi Cisco untuk Mengamankan Infrastruktur SD-WAN
Tim keamanan Cisco merekomendasikan perusahaan untuk memprioritaskan perbaikan terhadap CVE-2026-20127. Proses pembaruan tersebut membantu mengurangi peluang akses tanpa autentikasi. Di samping menutup kerentanan, perusahaan perlu memeriksa tanda aktivitas pascakompromi. Penilaian kondisi perangkat dapat mencakup peninjauan log autentikasi. Jika terdapat indikasi kompromi, organisasi perlu melibatkan tim keamanan yang berwenang. Tindakan tersebut membantu membatasi dampak serangan.
Selain pemeriksaan internal, administrator dianjurkan mengikuti panduan hardening Cisco Catalyst SD-WAN. Penerapan konfigurasi yang lebih ketat bertujuan mengurangi permukaan serangan. Cisco Talos juga menyediakan aturan Snort yang membantu mendeteksi pola komunikasi berbahaya. Kemampuan deteksi ini berpotensi membantu identifikasi aktivitas mencurigakan. Meski deteksi berbasis aturan bermanfaat, tidak adanya peringatan tidak menghilangkan kebutuhan pemeriksaan lain. Dalam proses pemulihan, tim keamanan dapat memeriksa apakah informasi kriptografi perlu diperbarui berdasarkan rekomendasi penanganan dari tim keamanan terkait. Apabila membutuhkan bantuan teknis, administrator sebaiknya membuka permintaan dukungan kepada Cisco TAC.
Ancaman Pencurian Kunci Enkripsi Membutuhkan Perlindungan Berlapis
Hasil investigasi Cisco terhadap kerangka malware KeyDrift memperlihatkan risiko serius terhadap sistem pengelolaan komunikasi. Berkat penyalahgunaan kerentanan pada perangkat pengendali, kelompok UAT-11473 dilaporkan memperoleh akses tidak sah. Komponen PolyFlame dan LittleFilch menegaskan perlunya pemantauan keamanan mendalam. Oleh sebab itu, organisasi harus menerapkan pengamanan serta pemantauan berkelanjutan. Temuan terbaru dalam analisis ancaman digital mendorong perusahaan memperkuat tata kelola keamanan. Menurut Anda, apakah ancaman seperti KeyDrift akan mendorong peningkatan investasi keamanan siber? Bagikan pandangan Anda mengenai pentingnya keamanan jaringan perusahaan.
