Cisco Talos mengungkap keberadaan malware berbahaya bernama KeyDrift yang dirancang untuk mencuri material kunci enkripsi pada infrastruktur jaringan perusahaan. Temuan yang diumumkan pada 28 Oktober 2026 ini berkaitan dengan aktivitas kelompok ancaman UAT-11473 yang mengeksploitasi kerentanan kritis pada Cisco Catalyst SD-WAN. Malware tersebut dapat beroperasi di dalam proses pengendali jaringan, mempertahankan akses tersembunyi, dan mengumpulkan informasi sensitif terkait komunikasi antarperangkat. Perkembangan ini menjadi perhatian penting dalam industri TEKNOLOGI keamanan siber karena menunjukkan bahwa perlindungan jaringan tidak cukup hanya mengandalkan enkripsi. Perusahaan juga perlu memastikan perangkat pengelola jaringan terlindungi dari akses tidak sah.
Mengenal Ancaman KeyDrift terhadap Keamanan Jaringan Perusahaan
Tim keamanan siber Cisco Talos menemukan KeyDrift sebagai sistem malware dengan beberapa komponen untuk infiltrasi jaringan perusahaan. Perangkat lunak berbahaya ini berkaitan dengan kelompok UAT-11473. Aktor ancaman yang dianalisis terindikasi menggunakan celah keamanan pada sistem login untuk memperoleh akses tidak sah. Sesudah sistem berhasil dimasuki, penyerang mengaktifkan mekanisme akses tersembunyi yang berupaya mempertahankan keberadaannya. Temuan tersebut menjadi peringatan bagi organisasi yang menggunakan sistem SD-WAN.
Dibandingkan dengan perangkat lunak berbahaya pada endpoint biasa, KeyDrift beroperasi pada bagian penting infrastruktur komunikasi. Pemilihan komponen jaringan ini menciptakan risiko terhadap lalu lintas perusahaan. Dalam jaringan SD-WAN, pengendali berperan mengatur hubungan antarperangkat. Apabila komponen tersebut disusupi, informasi yang digunakan untuk membangun koneksi aman dapat menjadi sasaran pencurian. Dengan mempertimbangkan risiko ini, pengamanan pengendali SD-WAN menjadi bagian penting dari strategi keamanan jaringan.
Risiko Keamanan Cisco Catalyst SD-WAN akibat Authentication Bypass
Serangan yang dianalisis Cisco berkaitan dengan eksploitasi celah CVE-2026-20127. Kerentanan tersebut berkaitan dengan kegagalan pembatasan akses berdasarkan identitas. Dalam kondisi rentan, penyerang jarak jauh berpotensi memperoleh akses dengan hak istimewa. Masalah autentikasi tersebut dikategorikan sangat kritis dengan skor CVSS 10,0. Skor keamanan tersebut menunjukkan perlunya penanganan segera. Perlu dipahami, keberadaan kerentanan tidak berarti seluruh perangkat otomatis terinfeksi.
Pengumuman awal mengenai CVE-2026-20127 dilakukan pada Februari 2026. Sebagai langkah penanganan, Cisco menerbitkan pembaruan keamanan bagi versi terdampak. Akan tetapi, perangkat yang belum diperbarui dapat menghadapi risiko eksploitasi. Di samping proses patching, organisasi sebaiknya melakukan investigasi terhadap akses tidak sah. Hal ini penting karena pemasangan patch tidak otomatis menghapus malware yang sudah tertanam. Dengan demikian, penanganan celah keamanan perlu dilengkapi pemantauan pascaeksploitasi.
Cara Malware KeyDrift Beroperasi dalam Sistem Cisco SD-WAN
Menurut pengamatan tim keamanan Cisco, KeyDrift mengandalkan perangkat lunak tambahan untuk menjalankan tugas tertentu. Salah satu komponen utamanya adalah PolyFlame yang beroperasi di dalam memori proses pengendali. Komponen tersebut mendukung akses tersembunyi bagi penyerang. Dengan mekanisme akses yang dimilikinya, penyerang berpotensi menjalankan perintah pada sistem. Selain fungsi backdoor, modul ini dapat bertindak sebagai relay komunikasi. Fungsi yang terintegrasi tersebut memerlukan analisis keamanan di luar pemeriksaan aplikasi biasa.
Modul tambahan dalam KeyDrift adalah LittleFilch yang dirancang mengekstraksi informasi enkripsi. Komponen pengumpulan informasi ini memanfaatkan akses ke lingkungan pengolahan lalu lintas kontrol. Melalui akses terhadap proses kontrol, malware berpotensi membaca bagian komunikasi yang sudah diproses. Menurut penilaian peneliti keamanan, salah satu informasi yang diambil berisi data yang diperkirakan digunakan untuk enkripsi AES-256. Material kriptografi itu memiliki peran penting dalam perlindungan komunikasi. Meski fungsi malware sudah dianalisis, keberhasilan pengiriman semua data kepada pelaku tidak sepenuhnya terkonfirmasi.
Dampak Malware KeyDrift terhadap Keamanan Komunikasi SD-WAN
Ketika bisnis menghubungkan beberapa lokasi operasional, enkripsi berfungsi menjaga kerahasiaan komunikasi. Teknologi tersebut mengubah informasi menjadi bentuk yang tidak mudah dibaca. Namun demikian, keamanan komunikasi memerlukan pengelolaan material rahasia yang tepat. Jika material enkripsi berhasil dicuri, risiko terganggunya kerahasiaan data perlu dipertimbangkan. Hal tersebut menjadi alasan bahwa KeyDrift menunjukkan kelemahan yang dapat terjadi pada sistem pengelolaan jaringan.
Dalam mekanisme SD-WAN tertentu, perangkat edge dapat bertukar informasi kunci melalui pengendali. Komponen kontrol jaringan ini memiliki akses terhadap informasi penting. Apabila komponen kontrol telah disusupi, ancaman dapat muncul dari akses terhadap data setelah diproses. Situasi tersebut menegaskan pentingnya pengamanan infrastruktur pengelola kunci. Dalam strategi keamanan menyeluruh, tim TI sebaiknya membatasi akses administratif serta mengidentifikasi perilaku tidak biasa.
Hubungan Infrastruktur Serangan KeyDrift dengan Jaringan Silent Train
Peneliti keamanan Cisco menghubungkan penggunaan KeyDrift dengan operasi kelompok penyerang UAT-11473. Dari hasil analisis terhadap sasaran serangan, kelompok tersebut dilaporkan membidik organisasi dengan aktivitas sensitif. Bidang organisasi yang menjadi sasaran meliputi sektor layanan ruang angkasa, industri pertahanan serta aerospace, serta lembaga kajian kebijakan. Karakteristik target ini menunjukkan potensi kegiatan spionase siber. Namun demikian, keberadaan sasaran dalam sektor tertentu bukan bukti semua perusahaan terkait menjadi korban.
Melalui pemeriksaan hubungan antarserver dan perangkat, Cisco Talos mengidentifikasi tumpang tindih yang kuat antara operasi UAT-11473 dan jaringan perantara operasi siber bernama Silent Train. Jaringan tersembunyi ini dikenal dalam analisis operasi Volt Typhoon. Namun demikian, Cisco Talos tidak menyatakan bahwa UAT-11473 merupakan Volt Typhoon. Kehati-hatian dalam menghubungkan kelompok merupakan bagian dari analisis ancaman yang bertanggung jawab. Dalam keamanan siber, penggunaan infrastruktur serupa memerlukan dukungan bukti tambahan sebelum atribusi dipastikan.
Rekomendasi Cisco untuk Mengamankan Infrastruktur SD-WAN
Cisco menyarankan organisasi untuk memastikan seluruh komponen terdampak menggunakan versi yang telah diperbaiki. Langkah patching ini membantu mengurangi peluang akses tanpa autentikasi. Selain melakukan pembaruan, perusahaan perlu memeriksa tanda aktivitas pascakompromi. Aktivitas investigasi ini dapat mencakup peninjauan log autentikasi. Ketika aktivitas tidak sah teridentifikasi, organisasi harus melakukan penanganan sesuai kebijakan keamanan perusahaan. Proses respons yang terstruktur berpotensi mengurangi risiko gangguan berkelanjutan.
Selain pemeriksaan internal, administrator sebaiknya meninjau rekomendasi penguatan sistem dari Cisco. Penguatan keamanan tersebut mendukung pengendalian komponen jaringan yang sensitif. Sebagai dukungan deteksi, Cisco menerbitkan aturan Snort yang berkaitan dengan aktivitas KeyDrift. Aturan tersebut berpotensi membantu identifikasi aktivitas mencurigakan. Namun demikian, tidak adanya peringatan tidak menghilangkan kebutuhan pemeriksaan lain. Dalam proses pemulihan, tim keamanan dapat menilai kebutuhan rotasi material kunci berdasarkan rekomendasi penanganan dari tim keamanan terkait. Ketika investigasi memerlukan dukungan vendor, administrator sebaiknya membuka permintaan dukungan kepada Cisco TAC.
Kesimpulan: KeyDrift Menjadi Peringatan Keamanan Infrastruktur Jaringan
Pengungkapan aktivitas KeyDrift pada Cisco SD-WAN memperlihatkan risiko serius terhadap sistem pengelolaan komunikasi. Melalui eksploitasi CVE-2026-20127, kelompok UAT-11473 berhasil menjalankan aktivitas penyusupan pada sistem terdampak. Komponen PolyFlame dan LittleFilch memperlihatkan sifat ancaman yang kompleks. Karena itu, organisasi tidak cukup hanya memasang patch. Temuan terbaru dalam analisis ancaman digital menunjukkan pentingnya strategi pertahanan berlapis. Bagaimana pendapat Anda, apakah perlindungan perangkat pengendali jaringan perlu mendapat prioritas lebih tinggi? Sampaikan pendapat Anda mengenai pentingnya keamanan jaringan perusahaan.
