Cisco Talos mengungkap keberadaan malware berbahaya bernama KeyDrift yang dirancang untuk mencuri material kunci enkripsi pada infrastruktur jaringan perusahaan. Temuan yang diumumkan pada 28 Oktober 2026 ini berkaitan dengan aktivitas kelompok ancaman UAT-11473 yang mengeksploitasi kerentanan kritis pada Cisco Catalyst SD-WAN. Malware tersebut dapat beroperasi di dalam proses pengendali jaringan, mempertahankan akses tersembunyi, dan mengumpulkan informasi sensitif terkait komunikasi antarperangkat. Perkembangan ini menjadi perhatian penting dalam industri TEKNOLOGI keamanan siber karena menunjukkan bahwa perlindungan jaringan tidak cukup hanya mengandalkan enkripsi. Perusahaan juga perlu memastikan perangkat pengelola jaringan terlindungi dari akses tidak sah.
Mengenal Ancaman KeyDrift terhadap Keamanan Jaringan Perusahaan
Cisco Talos mengidentifikasi KeyDrift sebagai kerangka malware khusus yang menargetkan Cisco SD-WAN. Perangkat lunak berbahaya ini diidentifikasi dalam operasi kelompok ancaman UAT-11473. Pelaku serangan ini terindikasi menggunakan celah keamanan pada sistem login untuk memasuki infrastruktur jaringan tanpa izin. Setelah akses diperoleh, penyerang mengaktifkan mekanisme akses tersembunyi yang mendukung pengendalian sistem secara berkelanjutan. Hasil analisis ini menunjukkan pentingnya perlindungan perangkat pengelola jaringan.
Dibandingkan dengan perangkat lunak berbahaya pada endpoint biasa, KeyDrift dirancang menyusup ke sistem pengelolaan SD-WAN. Sasaran tersebut berpotensi memengaruhi kerahasiaan komunikasi antarwilayah. Dalam jaringan SD-WAN, pengendali membantu mendistribusikan informasi konektivitas. Apabila komponen tersebut disusupi, informasi yang digunakan untuk membangun koneksi aman berpotensi terekspos kepada pelaku. Oleh sebab itu, pengamanan pengendali SD-WAN menjadi bagian penting dari strategi keamanan jaringan.
Kerentanan CVE-2026-20127 Menjadi Jalur Masuk Serangan KeyDrift
Aktivitas penyusupan yang ditemukan peneliti menggunakan kelemahan keamanan yang tercatat sebagai CVE-2026-20127. Kerentanan tersebut memungkinkan terlewatinya pemeriksaan autentikasi. Dalam kondisi rentan, penyerang jarak jauh mungkin mendapatkan kendali administratif tanpa autentikasi normal. Masalah autentikasi tersebut memiliki penilaian keparahan maksimum 10,0. Tingkat keparahan itu menjadi alasan untuk memprioritaskan mitigasi. Sebagai batasan penting, keberadaan kerentanan perlu dibedakan dari bukti keberhasilan eksploitasi pada perangkat tertentu.
Pengumuman awal mengenai CVE-2026-20127 dilakukan pada Februari 2026. Perusahaan juga menyediakan perbaikan perangkat lunak yang diperlukan. Akan tetapi, perangkat yang tidak mendapatkan penanganan sesuai rekomendasi tetap berpotensi menjadi sasaran. Selain pembaruan, organisasi harus mengevaluasi riwayat aktivitas mencurigakan. Alasan utamanya adalah pemasangan patch tidak menjamin sistem sebelumnya tidak pernah dikompromikan. Berdasarkan pertimbangan tersebut, penanganan celah keamanan perlu dilengkapi pemantauan pascaeksploitasi.
PolyFlame dan LittleFilch Menjadi Komponen Penting KeyDrift
Dari hasil pemeriksaan terhadap malware, KeyDrift memiliki arsitektur yang terdiri atas sejumlah modul. Salah satu komponen utamanya adalah PolyFlame yang dapat disisipkan ke proses pengelolaan jaringan. Perangkat lunak berbahaya ini memiliki kemampuan backdoor. Berkat fungsi kendali jarak jauh, penyerang mampu menggunakan perangkat yang telah terinfeksi sebagai perantara komunikasi. PolyFlame juga mampu meneruskan perintah antarperangkat. Kemampuan operasional ini membuat deteksi menjadi lebih menantang.
Modul tambahan dalam KeyDrift adalah LittleFilch yang memiliki kemampuan memperoleh data terkait kunci jaringan. Perangkat lunak LittleFilch beroperasi di dalam konteks layanan jaringan yang telah disusupi. Berkat keberadaannya di lingkungan pengendali, malware berpotensi membaca bagian komunikasi yang sudah diproses. Menurut penilaian peneliti keamanan, salah satu informasi yang diambil merupakan material kunci AES-256. Data kunci yang menjadi sasaran memiliki peran penting dalam perlindungan komunikasi. Meski fungsi malware sudah dianalisis, keberhasilan pengiriman semua data kepada pelaku tidak sepenuhnya terkonfirmasi.
Mengapa Material Kunci AES-256 Menjadi Sasaran Serangan Siber
Pada jaringan organisasi yang memiliki banyak cabang, enkripsi membantu melindungi pertukaran informasi. Sistem kriptografi tersebut melindungi data melalui proses penyandian. Namun demikian, keamanan komunikasi memerlukan pengelolaan material rahasia yang tepat. Ketika informasi kriptografi jatuh ke pihak tidak berwenang, risiko terbukanya komunikasi tertentu dapat meningkat. Kondisi tersebut menjelaskan mengapa KeyDrift mendapat perhatian khusus dari peneliti keamanan.
Pada arsitektur komunikasi Cisco yang dianalisis, perangkat edge dapat bertukar informasi kunci melalui pengendali. Komponen kontrol jaringan ini menangani data yang diperlukan untuk koneksi antarlokasi. Apabila komponen kontrol telah disusupi, ancaman tidak hanya berasal dari penyadapan jaringan luar. Situasi tersebut menjelaskan mengapa enkripsi saja belum cukup. Sebagai bagian dari perlindungan tambahan, perusahaan harus mengawasi proses yang memiliki hak istimewa serta mengidentifikasi perilaku tidak biasa.
Aktivitas Ancaman terhadap Industri Strategis dan Infrastruktur Penting
Dalam hasil investigasinya, Cisco Talos mengidentifikasi penggunaan KeyDrift dengan kelompok ancaman UAT-11473. Menurut laporan aktivitas ancaman, kelompok tersebut memperlihatkan ketertarikan pada industri tertentu. Bidang organisasi yang menjadi sasaran meliputi industri komunikasi satelit dan antariksa, pertahanan dan teknologi kedirgantaraan, serta penelitian kebijakan. Fokus pada sektor strategis tersebut mengindikasikan kepentingan terhadap informasi bernilai tinggi. Namun demikian, keberadaan sasaran dalam sektor tertentu harus dibedakan dari daftar korban yang telah terkonfirmasi.
Dalam penelitian lanjutan, Cisco Talos mengidentifikasi tumpang tindih yang kuat antara operasi UAT-11473 dan infrastruktur covert access yang dikenal sebagai Silent Train. Jaringan tersembunyi ini dikenal dalam analisis operasi Volt Typhoon. Walaupun terdapat kesamaan infrastruktur, Cisco Talos tidak mengonfirmasi bahwa pelaku KeyDrift dan Volt Typhoon adalah kelompok identik. Kehati-hatian dalam menghubungkan kelompok penting untuk menjaga ketepatan informasi. Dalam keamanan siber, penggunaan infrastruktur serupa belum cukup untuk menetapkan identitas pelaku.
Rekomendasi Cisco untuk Mengamankan Infrastruktur SD-WAN
Cisco menyarankan organisasi untuk segera memasang pembaruan keamanan yang tersedia. Pemasangan perbaikan keamanan penting untuk menutup jalur eksploitasi. Selain melakukan pembaruan, perusahaan harus mencari indikasi akses sebelumnya. Pemeriksaan tersebut membutuhkan analisis terhadap proses dan berkas mencurigakan. Apabila ditemukan tanda penyusupan, organisasi perlu melibatkan tim keamanan yang berwenang. Tindakan tersebut berpotensi mengurangi risiko gangguan berkelanjutan.
Di samping evaluasi perangkat, administrator perlu menerapkan konfigurasi pengamanan resmi. Penguatan keamanan tersebut membantu membatasi jalur akses yang tidak diperlukan. Sebagai dukungan deteksi, Cisco menerbitkan aturan Snort yang berkaitan dengan aktivitas KeyDrift. Signature keamanan tersebut berpotensi membantu identifikasi aktivitas mencurigakan. Meski deteksi berbasis aturan bermanfaat, tidak adanya peringatan tidak menghilangkan kebutuhan pemeriksaan lain. Dalam proses pemulihan, tim keamanan dapat memeriksa apakah informasi kriptografi perlu diperbarui berdasarkan rekomendasi penanganan dari tim keamanan terkait. Jika ditemukan tanda serangan yang sulit ditangani, administrator dapat menghubungi Cisco Technical Assistance Center.
Kesimpulan: KeyDrift Menjadi Peringatan Keamanan Infrastruktur Jaringan
Hasil investigasi Cisco terhadap kerangka malware KeyDrift menjadi peringatan penting bagi keamanan jaringan perusahaan. Berkat penyalahgunaan kerentanan pada perangkat pengendali, kelompok UAT-11473 berhasil menjalankan aktivitas penyusupan pada sistem terdampak. Komponen PolyFlame dan LittleFilch memperlihatkan sifat ancaman yang kompleks. Oleh sebab itu, organisasi perlu melengkapi pembaruan dengan pemeriksaan kompromi. Perkembangan TEKNOLOGI keamanan siber ini mendorong perusahaan memperkuat tata kelola keamanan. Menurut Anda, apakah perlindungan perangkat pengendali jaringan perlu mendapat prioritas lebih tinggi? Bagikan pandangan Anda mengenai pentingnya keamanan jaringan perusahaan.
