Cisco Talos mengungkap keberadaan malware berbahaya bernama KeyDrift yang dirancang untuk mencuri material kunci enkripsi pada infrastruktur jaringan perusahaan. Temuan yang diumumkan pada 28 Oktober 2026 ini berkaitan dengan aktivitas kelompok ancaman UAT-11473 yang mengeksploitasi kerentanan kritis pada Cisco Catalyst SD-WAN. Malware tersebut dapat beroperasi di dalam proses pengendali jaringan, mempertahankan akses tersembunyi, dan mengumpulkan informasi sensitif terkait komunikasi antarperangkat. Perkembangan ini menjadi perhatian penting dalam industri TEKNOLOGI keamanan siber karena menunjukkan bahwa perlindungan jaringan tidak cukup hanya mengandalkan enkripsi. Perusahaan juga perlu memastikan perangkat pengelola jaringan terlindungi dari akses tidak sah.
Mengenal Ancaman KeyDrift terhadap Keamanan Jaringan Perusahaan
Para peneliti ancaman digital Cisco mengungkap KeyDrift sebagai kerangka malware khusus yang menargetkan Cisco SD-WAN. Perangkat lunak berbahaya ini berkaitan dengan kelompok UAT-11473. Aktor ancaman yang dianalisis diketahui memanfaatkan kelemahan pemeriksaan identitas untuk memperoleh akses tidak sah. Sesudah sistem berhasil dimasuki, penyerang menjalankan perangkat lunak berbahaya yang berupaya mempertahankan keberadaannya. Hasil analisis ini memperlihatkan risiko serangan pada infrastruktur inti.
Berbeda dari malware yang hanya menyerang komputer pengguna, KeyDrift dirancang menyusup ke sistem pengelolaan SD-WAN. Pemilihan komponen jaringan ini memiliki dampak keamanan yang berbeda. Pada infrastruktur Software-Defined Wide Area Network, pengendali membantu mendistribusikan informasi konektivitas. Ketika sistem pengendali berhasil dikompromikan, informasi yang mendukung pertukaran data antarperangkat dapat menjadi sasaran pencurian. Dengan mempertimbangkan risiko ini, pengamanan pengendali SD-WAN harus menjadi prioritas perusahaan.
Celah Autentikasi Cisco SD-WAN Dimanfaatkan Kelompok UAT-11473
Aktivitas penyusupan yang ditemukan peneliti memanfaatkan kerentanan CVE-2026-20127. Celah keamanan ini memungkinkan terlewatinya pemeriksaan autentikasi. Apabila sistem belum mendapatkan perbaikan, penyerang jarak jauh berpotensi memperoleh akses dengan hak istimewa. Kerentanan keamanan ini memiliki penilaian keparahan maksimum 10,0. Penilaian risiko tersebut menjadi alasan untuk memprioritaskan mitigasi. Namun demikian, keberadaan kerentanan perlu dibedakan dari bukti keberhasilan eksploitasi pada perangkat tertentu.
Informasi mengenai celah tersebut sudah dipublikasikan Cisco pada Februari 2026. Perusahaan juga menyediakan pembaruan keamanan bagi versi terdampak. Akan tetapi, perangkat yang belum diperbarui memerlukan perhatian khusus dari administrator. Di samping proses patching, organisasi perlu memeriksa kemungkinan kompromi sebelumnya. Hal ini penting karena pemasangan patch tidak menjamin sistem sebelumnya tidak pernah dikompromikan. Berdasarkan pertimbangan tersebut, penanganan celah keamanan harus disertai evaluasi kondisi perangkat.
PolyFlame dan LittleFilch Menjadi Komponen Penting KeyDrift
Menurut pengamatan tim keamanan Cisco, KeyDrift memiliki arsitektur yang terdiri atas sejumlah modul. Salah satu komponen utamanya adalah PolyFlame yang dirancang berjalan bersama proses sistem yang sah. Perangkat lunak berbahaya ini dapat mempertahankan jalur kendali tidak sah. Melalui kemampuan tersebut, penyerang mampu menggunakan perangkat yang telah terinfeksi sebagai perantara komunikasi. PolyFlame juga berfungsi sebagai penghubung infrastruktur command-and-control. Kemampuan operasional ini membuat deteksi menjadi lebih menantang.
Bagian berikutnya dari kerangka malware adalah LittleFilch yang memiliki kemampuan memperoleh data terkait kunci jaringan. Modul tersebut memanfaatkan akses ke lingkungan pengolahan lalu lintas kontrol. Berkat keberadaannya di lingkungan pengendali, malware dapat mengamati informasi setelah didekripsi. Berdasarkan evaluasi teknis yang dilakukan, salah satu informasi yang diambil diduga berkaitan dengan kunci enkripsi AES-256. Data kunci yang menjadi sasaran sangat sensitif bagi keamanan jaringan. Namun demikian, keberhasilan pengiriman semua data kepada pelaku belum dapat dipastikan.
Dampak Malware KeyDrift terhadap Keamanan Komunikasi SD-WAN
Pada jaringan organisasi yang memiliki banyak cabang, enkripsi membantu melindungi pertukaran informasi. Sistem kriptografi tersebut melindungi data melalui proses penyandian. Namun demikian, keamanan komunikasi memerlukan pengelolaan material rahasia yang tepat. Jika material enkripsi berhasil dicuri, risiko terbukanya komunikasi tertentu dapat meningkat. Kondisi tersebut menjelaskan mengapa KeyDrift mendapat perhatian khusus dari peneliti keamanan.
Melalui sistem pengelolaan lalu lintas jaringan, perangkat edge memanfaatkan controller untuk distribusi material enkripsi. Perangkat pengelola komunikasi tersebut menangani data yang diperlukan untuk koneksi antarlokasi. Saat perangkat lunak berbahaya mengakses lingkungan internal, ancaman tidak hanya berasal dari penyadapan jaringan luar. Kondisi ini menegaskan pentingnya pengamanan infrastruktur pengelola kunci. Organisasi juga perlu melindungi sistem pengelolaan kunci serta mengidentifikasi perilaku tidak biasa.
Aktivitas Ancaman terhadap Industri Strategis dan Infrastruktur Penting
Dalam hasil investigasinya, Cisco Talos mengidentifikasi penggunaan KeyDrift dengan aktor siber yang dilacak sebagai UAT-11473. Menurut laporan aktivitas ancaman, kelompok tersebut terlihat menargetkan beberapa sektor strategis. Sektor yang diamati meliputi layanan antariksa dan satelit, organisasi bidang pertahanan dan penerbangan, serta organisasi analisis kebijakan strategis. Pemilihan sasaran tersebut menunjukkan potensi kegiatan spionase siber. Namun demikian, keberadaan sasaran dalam sektor tertentu bukan bukti semua perusahaan terkait menjadi korban.
Dalam penelitian lanjutan, Cisco Talos menemukan kemiripan signifikan antara operasi UAT-11473 dan jaringan akses tersembunyi Silent Train. Sistem perantara komunikasi itu telah muncul dalam penelitian mengenai kelompok Volt Typhoon. Walaupun terdapat kesamaan infrastruktur, Cisco Talos tidak mengonfirmasi bahwa pelaku KeyDrift dan Volt Typhoon adalah kelompok identik. Perbedaan tersebut merupakan bagian dari analisis ancaman yang bertanggung jawab. Pada kegiatan threat intelligence, penggunaan infrastruktur serupa tidak selalu membuktikan kesamaan organisasi.
Rekomendasi Cisco untuk Mengamankan Infrastruktur SD-WAN
Dalam panduan penanganannya, Cisco mendorong administrator untuk memastikan seluruh komponen terdampak menggunakan versi yang telah diperbaiki. Proses pembaruan tersebut bertujuan mencegah penyalahgunaan celah yang diketahui. Namun demikian, perusahaan perlu memeriksa tanda aktivitas pascakompromi. Pemeriksaan tersebut membutuhkan analisis terhadap proses dan berkas mencurigakan. Ketika aktivitas tidak sah teridentifikasi, organisasi perlu melibatkan tim keamanan yang berwenang. Tindakan tersebut berpotensi mengurangi risiko gangguan berkelanjutan.
Selain pemeriksaan internal, administrator perlu menerapkan konfigurasi pengamanan resmi. Penerapan konfigurasi yang lebih ketat mendukung pengendalian komponen jaringan yang sensitif. Untuk membantu pemantauan ancaman, tersedia aturan Snort yang ditujukan untuk mengenali indikator malware. Aturan tersebut berpotensi membantu identifikasi aktivitas mencurigakan. Walaupun signature telah tersedia, tidak adanya peringatan belum membuktikan tidak terjadi kompromi. Dalam proses pemulihan, tim keamanan dapat mengevaluasi penggantian kredensial dan kunci yang terdampak berdasarkan tingkat kompromi yang ditemukan. Ketika investigasi memerlukan dukungan vendor, administrator sebaiknya membuka permintaan dukungan kepada Cisco TAC.
Kesimpulan: KeyDrift Menjadi Peringatan Keamanan Infrastruktur Jaringan
Penemuan malware KeyDrift oleh Cisco Talos menunjukkan pentingnya perlindungan komponen inti infrastruktur digital. Dengan memanfaatkan celah autentikasi kritis, kelompok UAT-11473 berhasil menjalankan aktivitas penyusupan pada sistem terdampak. Arsitektur malware dengan kemampuan kendali dan pengumpulan informasi memperlihatkan sifat ancaman yang kompleks. Dengan mempertimbangkan ancaman tersebut, organisasi harus menerapkan pengamanan serta pemantauan berkelanjutan. Temuan terbaru dalam analisis ancaman digital mendorong perusahaan memperkuat tata kelola keamanan. Menurut Anda, apakah ancaman seperti KeyDrift akan mendorong peningkatan investasi keamanan siber? Sampaikan pendapat Anda mengenai pentingnya keamanan jaringan perusahaan.
