Cisco Talos mengungkap keberadaan malware berbahaya bernama KeyDrift yang dirancang untuk mencuri material kunci enkripsi pada infrastruktur jaringan perusahaan. Temuan yang diumumkan pada 28 Oktober 2026 ini berkaitan dengan aktivitas kelompok ancaman UAT-11473 yang mengeksploitasi kerentanan kritis pada Cisco Catalyst SD-WAN. Malware tersebut dapat beroperasi di dalam proses pengendali jaringan, mempertahankan akses tersembunyi, dan mengumpulkan informasi sensitif terkait komunikasi antarperangkat. Perkembangan ini menjadi perhatian penting dalam industri TEKNOLOGI keamanan siber karena menunjukkan bahwa perlindungan jaringan tidak cukup hanya mengandalkan enkripsi. Perusahaan juga perlu memastikan perangkat pengelola jaringan terlindungi dari akses tidak sah.
Penelitian Cisco Mengungkap Serangan Siber yang Menargetkan Sistem Pengendali Jaringan
Tim keamanan siber Cisco Talos menemukan KeyDrift sebagai perangkat lunak berbahaya yang dirancang menyerang pengendali jaringan. Perangkat lunak berbahaya ini berkaitan dengan kelompok UAT-11473. Aktor ancaman yang dianalisis terindikasi menggunakan celah keamanan pada sistem login untuk memasuki infrastruktur jaringan tanpa izin. Setelah akses diperoleh, penyerang mengaktifkan mekanisme akses tersembunyi yang berupaya mempertahankan keberadaannya. Hasil analisis ini memperlihatkan risiko serangan pada infrastruktur inti.
Dibandingkan dengan perangkat lunak berbahaya pada endpoint biasa, KeyDrift beroperasi pada bagian penting infrastruktur komunikasi. Sasaran tersebut memiliki dampak keamanan yang berbeda. Ketika perusahaan menggunakan pengelolaan jaringan berbasis perangkat lunak, pengendali memiliki fungsi penting dalam pengelolaan komunikasi. Ketika sistem pengendali berhasil dikompromikan, informasi yang digunakan untuk membangun koneksi aman memerlukan perlindungan tambahan. Oleh sebab itu, pengamanan pengendali SD-WAN menjadi bagian penting dari strategi keamanan jaringan.
Risiko Keamanan Cisco Catalyst SD-WAN akibat Authentication Bypass
Operasi kelompok UAT-11473 berkaitan dengan eksploitasi celah CVE-2026-20127. Celah keamanan ini merupakan kelemahan authentication bypass. Dalam kondisi rentan, penyerang jarak jauh mungkin mendapatkan kendali administratif tanpa autentikasi normal. Celah tersebut dikategorikan sangat kritis dengan skor CVSS 10,0. Tingkat keparahan itu menjadi alasan untuk memprioritaskan mitigasi. Sebagai batasan penting, keberadaan kerentanan tidak berarti seluruh perangkat otomatis terinfeksi.
Informasi mengenai celah tersebut sudah dipublikasikan Cisco pada Februari 2026. Untuk mengurangi risiko, Cisco merilis perbaikan perangkat lunak yang diperlukan. Meski perbaikan tersedia, perangkat yang masih menjalankan versi rentan tetap berpotensi menjadi sasaran. Sebagai langkah keamanan tambahan, organisasi sebaiknya melakukan investigasi terhadap akses tidak sah. Hal ini penting karena pemasangan patch tidak menjamin sistem sebelumnya tidak pernah dikompromikan. Berdasarkan pertimbangan tersebut, penanganan celah keamanan harus disertai evaluasi kondisi perangkat.
Fungsi Backdoor dan Pengumpulan Kunci Enkripsi pada KeyDrift
Menurut pengamatan tim keamanan Cisco, KeyDrift menggunakan beberapa komponen dengan fungsi berbeda. Bagian inti dari KeyDrift adalah PolyFlame yang beroperasi di dalam memori proses pengendali. Perangkat lunak berbahaya ini memiliki kemampuan backdoor. Berkat fungsi kendali jarak jauh, penyerang dapat mengendalikan fungsi tertentu pada perangkat. Di samping menyediakan akses tersembunyi, PolyFlame dapat bertindak sebagai relay komunikasi. Fungsi yang terintegrasi tersebut membuat deteksi menjadi lebih menantang.
Modul tambahan dalam KeyDrift adalah LittleFilch yang memiliki kemampuan memperoleh data terkait kunci jaringan. Perangkat lunak LittleFilch bekerja pada proses pengendali yang telah dikompromikan. Melalui akses terhadap proses kontrol, malware dapat mengamati informasi setelah didekripsi. Menurut penilaian peneliti keamanan, salah satu informasi yang diambil diduga berkaitan dengan kunci enkripsi AES-256. Data kunci yang menjadi sasaran sangat sensitif bagi keamanan jaringan. Namun demikian, keberhasilan pengiriman semua data kepada pelaku belum dapat dipastikan.
Pencurian Kunci Enkripsi Menimbulkan Risiko bagi Jaringan Perusahaan
Ketika bisnis menghubungkan beberapa lokasi operasional, enkripsi digunakan untuk mengamankan data selama transmisi. Mekanisme perlindungan ini membatasi kemampuan pihak tidak berwenang memahami lalu lintas. Namun demikian, keamanan komunikasi tidak dapat dipisahkan dari keamanan proses pertukaran kunci. Ketika informasi kriptografi jatuh ke pihak tidak berwenang, risiko terganggunya kerahasiaan data perlu dipertimbangkan. Kondisi tersebut menjelaskan mengapa KeyDrift mendapat perhatian khusus dari peneliti keamanan.
Dalam mekanisme SD-WAN tertentu, perangkat edge menggunakan sistem kontrol dalam pembentukan koneksi aman. Pengendali tersebut menangani data yang diperlukan untuk koneksi antarlokasi. Saat perangkat lunak berbahaya mengakses lingkungan internal, ancaman tidak hanya berasal dari penyadapan jaringan luar. Situasi tersebut membuktikan perlunya pendekatan keamanan berlapis. Organisasi juga perlu mengawasi proses yang memiliki hak istimewa serta memeriksa kemungkinan kompromi.
Aktivitas Ancaman terhadap Industri Strategis dan Infrastruktur Penting
Dalam hasil investigasinya, Cisco Talos mengidentifikasi penggunaan KeyDrift dengan aktor siber yang dilacak sebagai UAT-11473. Dari hasil analisis terhadap sasaran serangan, kelompok tersebut memperlihatkan ketertarikan pada industri tertentu. Sektor yang diamati meliputi layanan antariksa dan satelit, organisasi bidang pertahanan dan penerbangan, serta penelitian kebijakan. Karakteristik target ini menjadi perhatian dalam analisis operasi ancaman berkelanjutan. Sebagai batasan informasi, keberadaan sasaran dalam sektor tertentu bukan bukti semua perusahaan terkait menjadi korban.
Dalam penelitian lanjutan, Cisco Talos mengidentifikasi tumpang tindih yang kuat antara operasi UAT-11473 dan infrastruktur covert access yang dikenal sebagai Silent Train. Sistem perantara komunikasi itu telah muncul dalam penelitian mengenai kelompok Volt Typhoon. Meski hubungan teknis tersebut menarik, Cisco Talos tidak mengonfirmasi bahwa pelaku KeyDrift dan Volt Typhoon adalah kelompok identik. Kehati-hatian dalam menghubungkan kelompok merupakan bagian dari analisis ancaman yang bertanggung jawab. Dalam keamanan siber, penggunaan infrastruktur serupa belum cukup untuk menetapkan identitas pelaku.
Cara Mengurangi Risiko Serangan terhadap Kunci Enkripsi Perusahaan
Dalam panduan penanganannya, Cisco mendorong administrator untuk memastikan seluruh komponen terdampak menggunakan versi yang telah diperbaiki. Langkah patching ini penting untuk menutup jalur eksploitasi. Di samping menutup kerentanan, perusahaan sebaiknya menjalankan evaluasi terhadap kemungkinan infeksi. Aktivitas investigasi ini dapat mencakup peninjauan log autentikasi. Apabila ditemukan tanda penyusupan, organisasi perlu melibatkan tim keamanan yang berwenang. Pendekatan penanganan ini berpotensi mengurangi risiko gangguan berkelanjutan.
Di samping evaluasi perangkat, administrator dianjurkan mengikuti panduan hardening Cisco Catalyst SD-WAN. Proses hardening ini membantu membatasi jalur akses yang tidak diperlukan. Sebagai dukungan deteksi, Cisco menerbitkan aturan Snort yang membantu mendeteksi pola komunikasi berbahaya. Kemampuan deteksi ini dapat digunakan sebagai bagian dari pemantauan jaringan. Walaupun signature telah tersedia, tidak adanya peringatan tidak menghilangkan kebutuhan pemeriksaan lain. Dalam proses pemulihan, tim keamanan dapat menilai kebutuhan rotasi material kunci berdasarkan hasil investigasi dan panduan resmi. Ketika investigasi memerlukan dukungan vendor, administrator sebaiknya membuka permintaan dukungan kepada Cisco TAC.
Kesimpulan: KeyDrift Menjadi Peringatan Keamanan Infrastruktur Jaringan
Pengungkapan aktivitas KeyDrift pada Cisco SD-WAN memperlihatkan risiko serius terhadap sistem pengelolaan komunikasi. Melalui eksploitasi CVE-2026-20127, kelompok UAT-11473 teridentifikasi melakukan operasi terhadap infrastruktur SD-WAN. Kombinasi modul backdoor serta pengumpul kunci menegaskan perlunya pemantauan keamanan mendalam. Oleh sebab itu, organisasi harus menerapkan pengamanan serta pemantauan berkelanjutan. Penelitian mengenai serangan terhadap sistem jaringan tersebut menegaskan kebutuhan melindungi proses pengelolaan kunci. Bagaimana pendapat Anda, apakah perusahaan sudah cukup siap menghadapi malware yang menargetkan kunci enkripsi? Bagikan pandangan Anda mengenai ancaman KeyDrift.
