Cisco Talos mengungkap keberadaan malware berbahaya bernama KeyDrift yang dirancang untuk mencuri material kunci enkripsi pada infrastruktur jaringan perusahaan. Temuan yang diumumkan pada 28 Oktober 2026 ini berkaitan dengan aktivitas kelompok ancaman UAT-11473 yang mengeksploitasi kerentanan kritis pada Cisco Catalyst SD-WAN. Malware tersebut dapat beroperasi di dalam proses pengendali jaringan, mempertahankan akses tersembunyi, dan mengumpulkan informasi sensitif terkait komunikasi antarperangkat. Perkembangan ini menjadi perhatian penting dalam industri TEKNOLOGI keamanan siber karena menunjukkan bahwa perlindungan jaringan tidak cukup hanya mengandalkan enkripsi. Perusahaan juga perlu memastikan perangkat pengelola jaringan terlindungi dari akses tidak sah.
Cisco Talos Mengidentifikasi Malware KeyDrift pada Infrastruktur SD-WAN
Cisco Talos mengidentifikasi KeyDrift sebagai kerangka malware khusus yang menargetkan Cisco SD-WAN. Ancaman tersebut berkaitan dengan kelompok UAT-11473. Kelompok tersebut diketahui memanfaatkan kelemahan pemeriksaan identitas untuk mengambil alih kemampuan administratif tertentu. Ketika perangkat telah dikompromikan, penyerang memasang komponen malware khusus yang mendukung pengendalian sistem secara berkelanjutan. Penelitian keamanan tersebut memperlihatkan risiko serangan pada infrastruktur inti.
Berbeda dari malware yang hanya menyerang komputer pengguna, KeyDrift menargetkan komponen pengendali jaringan. Pemilihan komponen jaringan ini menciptakan risiko terhadap lalu lintas perusahaan. Dalam jaringan SD-WAN, pengendali memiliki fungsi penting dalam pengelolaan komunikasi. Ketika sistem pengendali berhasil dikompromikan, informasi yang melewati proses pengelolaan jaringan dapat menjadi sasaran pencurian. Karena alasan tersebut, pengamanan pengendali SD-WAN harus menjadi prioritas perusahaan.
Risiko Keamanan Cisco Catalyst SD-WAN akibat Authentication Bypass
Operasi kelompok UAT-11473 menggunakan kelemahan keamanan yang tercatat sebagai CVE-2026-20127. Celah keamanan ini memungkinkan terlewatinya pemeriksaan autentikasi. Dalam kondisi rentan, penyerang jarak jauh mungkin mendapatkan kendali administratif tanpa autentikasi normal. Celah tersebut dikategorikan sangat kritis dengan skor CVSS 10,0. Penilaian risiko tersebut menegaskan pentingnya pemasangan pembaruan. Perlu dipahami, keberadaan kerentanan belum membuktikan setiap sistem telah disusupi.
Informasi mengenai celah tersebut sudah dipublikasikan Cisco pada Februari 2026. Untuk mengurangi risiko, Cisco merilis pembaruan keamanan bagi versi terdampak. Meski perbaikan tersedia, perangkat yang tidak mendapatkan penanganan sesuai rekomendasi dapat menghadapi risiko eksploitasi. Selain pembaruan, organisasi harus mengevaluasi riwayat aktivitas mencurigakan. Hal ini penting karena pemasangan patch tidak otomatis menghapus malware yang sudah tertanam. Berdasarkan pertimbangan tersebut, penanganan celah keamanan harus disertai evaluasi kondisi perangkat.
Fungsi Backdoor dan Pengumpulan Kunci Enkripsi pada KeyDrift
Berdasarkan analisis Cisco Talos, KeyDrift memiliki arsitektur yang terdiri atas sejumlah modul. Bagian inti dari KeyDrift adalah PolyFlame yang beroperasi di dalam memori proses pengendali. Perangkat lunak berbahaya ini memiliki kemampuan backdoor. Berkat fungsi kendali jarak jauh, penyerang mampu menggunakan perangkat yang telah terinfeksi sebagai perantara komunikasi. Selain fungsi backdoor, modul ini berfungsi sebagai penghubung infrastruktur command-and-control. Karakteristik tersebut memerlukan analisis keamanan di luar pemeriksaan aplikasi biasa.
Modul tambahan dalam KeyDrift adalah LittleFilch yang berfokus pada pengumpulan material kunci. Modul tersebut memanfaatkan akses ke lingkungan pengolahan lalu lintas kontrol. Dengan berada pada posisi tersebut, malware dapat mengamati informasi setelah didekripsi. Berdasarkan evaluasi teknis yang dilakukan, salah satu informasi yang diambil diduga berkaitan dengan kunci enkripsi AES-256. Data kunci yang menjadi sasaran memerlukan penanganan dengan tingkat perlindungan tinggi. Namun demikian, keberhasilan pengiriman semua data kepada pelaku tidak sepenuhnya terkonfirmasi.
Dampak Malware KeyDrift terhadap Keamanan Komunikasi SD-WAN
Pada jaringan organisasi yang memiliki banyak cabang, enkripsi berfungsi menjaga kerahasiaan komunikasi. Teknologi tersebut membatasi kemampuan pihak tidak berwenang memahami lalu lintas. Meskipun enkripsi merupakan perlindungan penting, keamanan komunikasi juga bergantung pada perlindungan kuncinya. Ketika informasi kriptografi jatuh ke pihak tidak berwenang, risiko terbukanya komunikasi tertentu dapat meningkat. Hal tersebut menjadi alasan bahwa KeyDrift menunjukkan kelemahan yang dapat terjadi pada sistem pengelolaan jaringan.
Melalui sistem pengelolaan lalu lintas jaringan, perangkat edge memanfaatkan controller untuk distribusi material enkripsi. Pengendali tersebut memiliki akses terhadap informasi penting. Apabila komponen kontrol telah disusupi, ancaman tidak hanya berasal dari penyadapan jaringan luar. Situasi tersebut membuktikan perlunya pendekatan keamanan berlapis. Organisasi juga perlu mengawasi proses yang memiliki hak istimewa serta memeriksa kemungkinan kompromi.
Hubungan Infrastruktur Serangan KeyDrift dengan Jaringan Silent Train
Peneliti keamanan Cisco menghubungkan penggunaan KeyDrift dengan aktor siber yang dilacak sebagai UAT-11473. Berdasarkan pengamatan peneliti, kelompok tersebut dilaporkan membidik organisasi dengan aktivitas sensitif. Sektor yang diamati meliputi industri komunikasi satelit dan antariksa, organisasi bidang pertahanan dan penerbangan, serta organisasi analisis kebijakan strategis. Pemilihan sasaran tersebut menunjukkan potensi kegiatan spionase siber. Namun demikian, keberadaan sasaran dalam sektor tertentu tidak berarti setiap organisasi pada bidang itu telah terinfeksi.
Sebagai bagian dari analisis infrastruktur serangan, Cisco Talos mengidentifikasi tumpang tindih yang kuat antara operasi UAT-11473 dan jaringan akses tersembunyi Silent Train. Infrastruktur tersebut pernah dikaitkan dengan aktivitas Volt Typhoon. Namun demikian, Cisco Talos tidak menyatakan bahwa UAT-11473 merupakan Volt Typhoon. Kehati-hatian dalam menghubungkan kelompok merupakan bagian dari analisis ancaman yang bertanggung jawab. Dalam keamanan siber, penggunaan infrastruktur serupa belum cukup untuk menetapkan identitas pelaku.
Langkah Melindungi Jaringan Perusahaan dari Malware KeyDrift
Cisco menyarankan organisasi untuk memprioritaskan perbaikan terhadap CVE-2026-20127. Proses pembaruan tersebut bertujuan mencegah penyalahgunaan celah yang diketahui. Selain melakukan pembaruan, perusahaan harus mencari indikasi akses sebelumnya. Pemeriksaan tersebut membutuhkan analisis terhadap proses dan berkas mencurigakan. Apabila ditemukan tanda penyusupan, organisasi perlu melibatkan tim keamanan yang berwenang. Tindakan tersebut berpotensi mengurangi risiko gangguan berkelanjutan.
Di samping evaluasi perangkat, administrator sebaiknya meninjau rekomendasi penguatan sistem dari Cisco. Penguatan keamanan tersebut bertujuan mengurangi permukaan serangan. Untuk membantu pemantauan ancaman, tersedia aturan Snort yang membantu mendeteksi pola komunikasi berbahaya. Kemampuan deteksi ini mendukung sistem pencegahan intrusi yang sesuai. Walaupun signature telah tersedia, tidak adanya peringatan belum membuktikan tidak terjadi kompromi. Sebagai tindakan pengamanan berikutnya, perusahaan bisa mengevaluasi penggantian kredensial dan kunci yang terdampak berdasarkan rekomendasi penanganan dari tim keamanan terkait. Ketika investigasi memerlukan dukungan vendor, administrator sebaiknya membuka permintaan dukungan kepada Cisco TAC.
Ancaman Pencurian Kunci Enkripsi Membutuhkan Perlindungan Berlapis
Penemuan malware KeyDrift oleh Cisco Talos menunjukkan pentingnya perlindungan komponen inti infrastruktur digital. Berkat penyalahgunaan kerentanan pada perangkat pengendali, kelompok UAT-11473 dilaporkan memperoleh akses tidak sah. Komponen PolyFlame dan LittleFilch menegaskan perlunya pemantauan keamanan mendalam. Karena itu, organisasi perlu melengkapi pembaruan dengan pemeriksaan kompromi. Penelitian mengenai serangan terhadap sistem jaringan tersebut menegaskan kebutuhan melindungi proses pengelolaan kunci. Bagaimana pendapat Anda, apakah perusahaan sudah cukup siap menghadapi malware yang menargetkan kunci enkripsi? Ceritakan pemikiran Anda mengenai langkah melindungi infrastruktur digital dari serangan berkelanjutan.
