Cisco Talos mengungkap keberadaan malware berbahaya bernama KeyDrift yang dirancang untuk mencuri material kunci enkripsi pada infrastruktur jaringan perusahaan. Temuan yang diumumkan pada 28 Oktober 2026 ini berkaitan dengan aktivitas kelompok ancaman UAT-11473 yang mengeksploitasi kerentanan kritis pada Cisco Catalyst SD-WAN. Malware tersebut dapat beroperasi di dalam proses pengendali jaringan, mempertahankan akses tersembunyi, dan mengumpulkan informasi sensitif terkait komunikasi antarperangkat. Perkembangan ini menjadi perhatian penting dalam industri TEKNOLOGI keamanan siber karena menunjukkan bahwa perlindungan jaringan tidak cukup hanya mengandalkan enkripsi. Perusahaan juga perlu memastikan perangkat pengelola jaringan terlindungi dari akses tidak sah.
Mengenal Ancaman KeyDrift terhadap Keamanan Jaringan Perusahaan
Tim keamanan siber Cisco Talos menemukan KeyDrift sebagai perangkat lunak berbahaya yang dirancang menyerang pengendali jaringan. Ancaman tersebut berkaitan dengan kelompok UAT-11473. Kelompok tersebut terindikasi menggunakan celah keamanan pada sistem login untuk memperoleh akses tidak sah. Ketika perangkat telah dikompromikan, penyerang mengaktifkan mekanisme akses tersembunyi yang berupaya mempertahankan keberadaannya. Temuan tersebut menunjukkan pentingnya perlindungan perangkat pengelola jaringan.
Berbeda dari malware yang hanya menyerang komputer pengguna, KeyDrift menargetkan komponen pengendali jaringan. Pemilihan komponen jaringan ini berpotensi memengaruhi kerahasiaan komunikasi antarwilayah. Dalam jaringan SD-WAN, pengendali memiliki fungsi penting dalam pengelolaan komunikasi. Jika penyerang memperoleh kendali terhadap infrastruktur tersebut, informasi yang digunakan untuk membangun koneksi aman dapat menjadi sasaran pencurian. Oleh sebab itu, pengamanan pengendali SD-WAN menjadi bagian penting dari strategi keamanan jaringan.
Celah Autentikasi Cisco SD-WAN Dimanfaatkan Kelompok UAT-11473
Aktivitas penyusupan yang ditemukan peneliti berkaitan dengan eksploitasi celah CVE-2026-20127. Masalah pada perangkat lunak tersebut merupakan kelemahan authentication bypass. Dalam kondisi rentan, penyerang jarak jauh mungkin mendapatkan kendali administratif tanpa autentikasi normal. Kerentanan keamanan ini mendapat skor CVSS 10,0. Tingkat keparahan itu menunjukkan perlunya penanganan segera. Namun demikian, keberadaan kerentanan perlu dibedakan dari bukti keberhasilan eksploitasi pada perangkat tertentu.
Informasi mengenai celah tersebut sudah dipublikasikan Cisco pada Februari 2026. Perusahaan juga menyediakan perbaikan perangkat lunak yang diperlukan. Meski perbaikan tersedia, perangkat yang tidak mendapatkan penanganan sesuai rekomendasi dapat menghadapi risiko eksploitasi. Di samping proses patching, organisasi harus mengevaluasi riwayat aktivitas mencurigakan. Hal ini penting karena pemasangan patch tidak otomatis menghapus malware yang sudah tertanam. Oleh karena itu, penanganan celah keamanan harus disertai evaluasi kondisi perangkat.
Cara Malware KeyDrift Beroperasi dalam Sistem Cisco SD-WAN
Dari hasil pemeriksaan terhadap malware, KeyDrift mengandalkan perangkat lunak tambahan untuk menjalankan tugas tertentu. Bagian inti dari KeyDrift adalah PolyFlame yang dapat disisipkan ke proses pengelolaan jaringan. Komponen tersebut mendukung akses tersembunyi bagi penyerang. Dengan mekanisme akses yang dimilikinya, penyerang dapat mengendalikan fungsi tertentu pada perangkat. Selain fungsi backdoor, modul ini mampu meneruskan perintah antarperangkat. Kemampuan operasional ini memerlukan analisis keamanan di luar pemeriksaan aplikasi biasa.
Bagian berikutnya dari kerangka malware adalah LittleFilch yang berfokus pada pengumpulan material kunci. Komponen pengumpulan informasi ini bekerja pada proses pengendali yang telah dikompromikan. Berkat keberadaannya di lingkungan pengendali, malware berpotensi membaca bagian komunikasi yang sudah diproses. Menurut penilaian peneliti keamanan, salah satu informasi yang diambil merupakan material kunci AES-256. Informasi tersebut sangat sensitif bagi keamanan jaringan. Namun demikian, keberhasilan pengiriman semua data kepada pelaku masih memiliki keterbatasan bukti dalam laporan penelitian.
Dampak Malware KeyDrift terhadap Keamanan Komunikasi SD-WAN
Ketika bisnis menghubungkan beberapa lokasi operasional, enkripsi membantu melindungi pertukaran informasi. Teknologi tersebut melindungi data melalui proses penyandian. Namun demikian, keamanan komunikasi tidak dapat dipisahkan dari keamanan proses pertukaran kunci. Ketika informasi kriptografi jatuh ke pihak tidak berwenang, risiko terganggunya kerahasiaan data perlu dipertimbangkan. Hal tersebut menjadi alasan bahwa KeyDrift menunjukkan kelemahan yang dapat terjadi pada sistem pengelolaan jaringan.
Melalui sistem pengelolaan lalu lintas jaringan, perangkat edge dapat bertukar informasi kunci melalui pengendali. Komponen kontrol jaringan ini menangani data yang diperlukan untuk koneksi antarlokasi. Saat perangkat lunak berbahaya mengakses lingkungan internal, ancaman tidak hanya berasal dari penyadapan jaringan luar. Situasi tersebut menjelaskan mengapa enkripsi saja belum cukup. Organisasi juga perlu mengawasi proses yang memiliki hak istimewa serta memeriksa kemungkinan kompromi.
Aktivitas Ancaman terhadap Industri Strategis dan Infrastruktur Penting
Peneliti keamanan Cisco menghubungkan penggunaan KeyDrift dengan operasi kelompok penyerang UAT-11473. Berdasarkan pengamatan peneliti, kelompok tersebut terlihat menargetkan beberapa sektor strategis. Kategori target yang disebutkan meliputi layanan antariksa dan satelit, pertahanan dan teknologi kedirgantaraan, serta organisasi analisis kebijakan strategis. Fokus pada sektor strategis tersebut mengindikasikan kepentingan terhadap informasi bernilai tinggi. Perlu ditekankan, keberadaan sasaran dalam sektor tertentu harus dibedakan dari daftar korban yang telah terkonfirmasi.
Dalam penelitian lanjutan, Cisco Talos mengidentifikasi tumpang tindih yang kuat antara operasi UAT-11473 dan infrastruktur covert access yang dikenal sebagai Silent Train. Infrastruktur tersebut dikenal dalam analisis operasi Volt Typhoon. Namun demikian, Cisco Talos tidak mengonfirmasi bahwa pelaku KeyDrift dan Volt Typhoon adalah kelompok identik. Batasan atribusi ini merupakan bagian dari analisis ancaman yang bertanggung jawab. Pada kegiatan threat intelligence, penggunaan infrastruktur serupa memerlukan dukungan bukti tambahan sebelum atribusi dipastikan.
Langkah Melindungi Jaringan Perusahaan dari Malware KeyDrift
Dalam panduan penanganannya, Cisco mendorong administrator untuk segera memasang pembaruan keamanan yang tersedia. Pemasangan perbaikan keamanan penting untuk menutup jalur eksploitasi. Di samping menutup kerentanan, perusahaan perlu memeriksa tanda aktivitas pascakompromi. Pemeriksaan tersebut membutuhkan analisis terhadap proses dan berkas mencurigakan. Apabila ditemukan tanda penyusupan, organisasi sebaiknya segera mengaktifkan prosedur respons insiden. Tindakan tersebut membantu membatasi dampak serangan.
Di samping evaluasi perangkat, administrator dianjurkan mengikuti panduan hardening Cisco Catalyst SD-WAN. Penerapan konfigurasi yang lebih ketat bertujuan mengurangi permukaan serangan. Sebagai dukungan deteksi, Cisco menerbitkan aturan Snort yang berkaitan dengan aktivitas KeyDrift. Aturan tersebut dapat digunakan sebagai bagian dari pemantauan jaringan. Meski deteksi berbasis aturan bermanfaat, tidak adanya peringatan belum membuktikan tidak terjadi kompromi. Dalam proses pemulihan, tim keamanan dapat mengevaluasi penggantian kredensial dan kunci yang terdampak berdasarkan tingkat kompromi yang ditemukan. Jika ditemukan tanda serangan yang sulit ditangani, administrator dapat menghubungi Cisco Technical Assistance Center.
Kesimpulan: KeyDrift Menjadi Peringatan Keamanan Infrastruktur Jaringan
Penemuan malware KeyDrift oleh Cisco Talos menjadi peringatan penting bagi keamanan jaringan perusahaan. Melalui eksploitasi CVE-2026-20127, kelompok UAT-11473 dilaporkan memperoleh akses tidak sah. Komponen PolyFlame dan LittleFilch menunjukkan risiko terhadap material enkripsi. Dengan mempertimbangkan ancaman tersebut, organisasi tidak cukup hanya memasang patch. Penelitian mengenai serangan terhadap sistem jaringan tersebut menunjukkan pentingnya strategi pertahanan berlapis. Menurut Anda, apakah ancaman seperti KeyDrift akan mendorong peningkatan investasi keamanan siber? Bagikan pandangan Anda mengenai langkah melindungi infrastruktur digital dari serangan berkelanjutan.
