Cisco Talos mengungkap keberadaan malware berbahaya bernama KeyDrift yang dirancang untuk mencuri material kunci enkripsi pada infrastruktur jaringan perusahaan. Temuan yang diumumkan pada 28 Oktober 2026 ini berkaitan dengan aktivitas kelompok ancaman UAT-11473 yang mengeksploitasi kerentanan kritis pada Cisco Catalyst SD-WAN. Malware tersebut dapat beroperasi di dalam proses pengendali jaringan, mempertahankan akses tersembunyi, dan mengumpulkan informasi sensitif terkait komunikasi antarperangkat. Perkembangan ini menjadi perhatian penting dalam industri TEKNOLOGI keamanan siber karena menunjukkan bahwa perlindungan jaringan tidak cukup hanya mengandalkan enkripsi. Perusahaan juga perlu memastikan perangkat pengelola jaringan terlindungi dari akses tidak sah.
Mengenal Ancaman KeyDrift terhadap Keamanan Jaringan Perusahaan
Cisco Talos mengidentifikasi KeyDrift sebagai sistem malware dengan beberapa komponen untuk infiltrasi jaringan perusahaan. Malware yang ditemukan dikaitkan dengan aktivitas pelaku yang dilacak sebagai UAT-11473. Kelompok tersebut terindikasi menggunakan celah keamanan pada sistem login untuk mengambil alih kemampuan administratif tertentu. Sesudah sistem berhasil dimasuki, penyerang mengaktifkan mekanisme akses tersembunyi yang berupaya mempertahankan keberadaannya. Penelitian keamanan tersebut menunjukkan pentingnya perlindungan perangkat pengelola jaringan.
Berbeda dari malware yang hanya menyerang komputer pengguna, KeyDrift beroperasi pada bagian penting infrastruktur komunikasi. Pendekatan serangan tersebut berpotensi memengaruhi kerahasiaan komunikasi antarwilayah. Ketika perusahaan menggunakan pengelolaan jaringan berbasis perangkat lunak, pengendali membantu mendistribusikan informasi konektivitas. Jika penyerang memperoleh kendali terhadap infrastruktur tersebut, informasi yang melewati proses pengelolaan jaringan memerlukan perlindungan tambahan. Karena alasan tersebut, pengamanan pengendali SD-WAN harus menjadi prioritas perusahaan.
Kerentanan CVE-2026-20127 Menjadi Jalur Masuk Serangan KeyDrift
Serangan yang dianalisis Cisco berkaitan dengan eksploitasi celah CVE-2026-20127. Kerentanan tersebut berkaitan dengan kegagalan pembatasan akses berdasarkan identitas. Ketika perangkat masih menggunakan versi terdampak, penyerang jarak jauh dapat melewati mekanisme login yang seharusnya membatasi akses. Masalah autentikasi tersebut dikategorikan sangat kritis dengan skor CVSS 10,0. Skor keamanan tersebut menjadi alasan untuk memprioritaskan mitigasi. Perlu dipahami, keberadaan kerentanan perlu dibedakan dari bukti keberhasilan eksploitasi pada perangkat tertentu.
Informasi mengenai celah tersebut sudah dipublikasikan Cisco pada Februari 2026. Perusahaan juga menyediakan pembaruan keamanan bagi versi terdampak. Namun demikian, perangkat yang tidak mendapatkan penanganan sesuai rekomendasi memerlukan perhatian khusus dari administrator. Di samping proses patching, organisasi sebaiknya melakukan investigasi terhadap akses tidak sah. Pemeriksaan tersebut diperlukan sebab pemasangan patch belum tentu membersihkan seluruh komponen berbahaya. Oleh karena itu, penanganan celah keamanan sebaiknya menjadi bagian dari proses respons insiden yang lebih menyeluruh.
PolyFlame dan LittleFilch Menjadi Komponen Penting KeyDrift
Menurut pengamatan tim keamanan Cisco, KeyDrift menggunakan beberapa komponen dengan fungsi berbeda. Bagian inti dari KeyDrift adalah PolyFlame yang beroperasi di dalam memori proses pengendali. Perangkat lunak berbahaya ini memiliki kemampuan backdoor. Berkat fungsi kendali jarak jauh, penyerang mampu menggunakan perangkat yang telah terinfeksi sebagai perantara komunikasi. Selain fungsi backdoor, modul ini mampu meneruskan perintah antarperangkat. Karakteristik tersebut memerlukan analisis keamanan di luar pemeriksaan aplikasi biasa.
Bagian berikutnya dari kerangka malware adalah LittleFilch yang berfokus pada pengumpulan material kunci. Modul tersebut memanfaatkan akses ke lingkungan pengolahan lalu lintas kontrol. Dengan berada pada posisi tersebut, malware mampu mengakses data sensitif pada tahap pemrosesan internal. Menurut penilaian peneliti keamanan, salah satu informasi yang diambil merupakan material kunci AES-256. Material kriptografi itu memerlukan penanganan dengan tingkat perlindungan tinggi. Namun demikian, keberhasilan pengiriman semua data kepada pelaku belum dapat dipastikan.
Dampak Malware KeyDrift terhadap Keamanan Komunikasi SD-WAN
Dalam infrastruktur perusahaan modern, enkripsi berfungsi menjaga kerahasiaan komunikasi. Mekanisme perlindungan ini membatasi kemampuan pihak tidak berwenang memahami lalu lintas. Meskipun enkripsi merupakan perlindungan penting, keamanan komunikasi tidak dapat dipisahkan dari keamanan proses pertukaran kunci. Apabila kunci berhasil diperoleh penyerang, risiko terbukanya komunikasi tertentu dapat meningkat. Kondisi tersebut menjelaskan mengapa KeyDrift menunjukkan kelemahan yang dapat terjadi pada sistem pengelolaan jaringan.
Melalui sistem pengelolaan lalu lintas jaringan, perangkat edge menggunakan sistem kontrol dalam pembentukan koneksi aman. Perangkat pengelola komunikasi tersebut berperan dalam koordinasi komunikasi terenkripsi. Ketika malware berada di dalam proses pengendali, ancaman dapat muncul dari akses terhadap data setelah diproses. Situasi tersebut membuktikan perlunya pendekatan keamanan berlapis. Organisasi juga perlu melindungi sistem pengelolaan kunci serta memeriksa kemungkinan kompromi.
Cisco Mengungkap Kelompok UAT-11473 dan Target Serangan KeyDrift
Cisco Talos mengaitkan penggunaan KeyDrift dengan kelompok ancaman UAT-11473. Berdasarkan pengamatan peneliti, kelompok tersebut memperlihatkan ketertarikan pada industri tertentu. Sektor yang diamati meliputi layanan antariksa dan satelit, industri pertahanan serta aerospace, serta penelitian kebijakan. Pemilihan sasaran tersebut mengindikasikan kepentingan terhadap informasi bernilai tinggi. Namun demikian, keberadaan sasaran dalam sektor tertentu bukan bukti semua perusahaan terkait menjadi korban.
Dalam penelitian lanjutan, Cisco Talos menemukan kemiripan signifikan antara operasi UAT-11473 dan infrastruktur covert access yang dikenal sebagai Silent Train. Sistem perantara komunikasi itu telah muncul dalam penelitian mengenai kelompok Volt Typhoon. Namun demikian, Cisco Talos tidak mengonfirmasi bahwa pelaku KeyDrift dan Volt Typhoon adalah kelompok identik. Perbedaan tersebut membantu menghindari kesimpulan yang terlalu jauh. Pada kegiatan threat intelligence, penggunaan infrastruktur serupa belum cukup untuk menetapkan identitas pelaku.
Langkah Melindungi Jaringan Perusahaan dari Malware KeyDrift
Tim keamanan Cisco merekomendasikan perusahaan untuk memprioritaskan perbaikan terhadap CVE-2026-20127. Pemasangan perbaikan keamanan bertujuan mencegah penyalahgunaan celah yang diketahui. Di samping menutup kerentanan, perusahaan sebaiknya menjalankan evaluasi terhadap kemungkinan infeksi. Pemeriksaan tersebut meliputi evaluasi perubahan layanan sistem. Apabila ditemukan tanda penyusupan, organisasi harus melakukan penanganan sesuai kebijakan keamanan perusahaan. Pendekatan penanganan ini berpotensi mengurangi risiko gangguan berkelanjutan.
Selain pemeriksaan internal, administrator dianjurkan mengikuti panduan hardening Cisco Catalyst SD-WAN. Proses hardening ini bertujuan mengurangi permukaan serangan. Untuk membantu pemantauan ancaman, tersedia aturan Snort yang ditujukan untuk mengenali indikator malware. Kemampuan deteksi ini berpotensi membantu identifikasi aktivitas mencurigakan. Namun demikian, tidak adanya peringatan belum membuktikan tidak terjadi kompromi. Dalam proses pemulihan, tim keamanan dapat mengevaluasi penggantian kredensial dan kunci yang terdampak berdasarkan rekomendasi penanganan dari tim keamanan terkait. Apabila membutuhkan bantuan teknis, administrator sebaiknya membuka permintaan dukungan kepada Cisco TAC.
Ancaman Pencurian Kunci Enkripsi Membutuhkan Perlindungan Berlapis
Penemuan malware KeyDrift oleh Cisco Talos menunjukkan pentingnya perlindungan komponen inti infrastruktur digital. Berkat penyalahgunaan kerentanan pada perangkat pengendali, kelompok UAT-11473 teridentifikasi melakukan operasi terhadap infrastruktur SD-WAN. Komponen PolyFlame dan LittleFilch menegaskan perlunya pemantauan keamanan mendalam. Dengan mempertimbangkan ancaman tersebut, organisasi perlu melengkapi pembaruan dengan pemeriksaan kompromi. Perkembangan TEKNOLOGI keamanan siber ini menunjukkan pentingnya strategi pertahanan berlapis. Dari sudut pandang Anda, apakah perusahaan sudah cukup siap menghadapi malware yang menargetkan kunci enkripsi? Ceritakan pemikiran Anda mengenai langkah melindungi infrastruktur digital dari serangan berkelanjutan.
