Cisco Talos mengungkap keberadaan malware berbahaya bernama KeyDrift yang dirancang untuk mencuri material kunci enkripsi pada infrastruktur jaringan perusahaan. Temuan yang diumumkan pada 28 Oktober 2026 ini berkaitan dengan aktivitas kelompok ancaman UAT-11473 yang mengeksploitasi kerentanan kritis pada Cisco Catalyst SD-WAN. Malware tersebut dapat beroperasi di dalam proses pengendali jaringan, mempertahankan akses tersembunyi, dan mengumpulkan informasi sensitif terkait komunikasi antarperangkat. Perkembangan ini menjadi perhatian penting dalam industri TEKNOLOGI keamanan siber karena menunjukkan bahwa perlindungan jaringan tidak cukup hanya mengandalkan enkripsi. Perusahaan juga perlu memastikan perangkat pengelola jaringan terlindungi dari akses tidak sah.
Mengenal Ancaman KeyDrift terhadap Keamanan Jaringan Perusahaan
Para peneliti ancaman digital Cisco mengungkap KeyDrift sebagai perangkat lunak berbahaya yang dirancang menyerang pengendali jaringan. Malware yang ditemukan diidentifikasi dalam operasi kelompok ancaman UAT-11473. Pelaku serangan ini diketahui memanfaatkan kelemahan pemeriksaan identitas untuk memasuki infrastruktur jaringan tanpa izin. Sesudah sistem berhasil dimasuki, penyerang memasang komponen malware khusus yang mendukung pengendalian sistem secara berkelanjutan. Temuan tersebut menjadi peringatan bagi organisasi yang menggunakan sistem SD-WAN.
Tidak seperti ancaman yang berfokus pada laptop karyawan, KeyDrift beroperasi pada bagian penting infrastruktur komunikasi. Pemilihan komponen jaringan ini berpotensi memengaruhi kerahasiaan komunikasi antarwilayah. Pada infrastruktur Software-Defined Wide Area Network, pengendali berperan mengatur hubungan antarperangkat. Ketika sistem pengendali berhasil dikompromikan, informasi yang mendukung pertukaran data antarperangkat dapat menjadi sasaran pencurian. Oleh sebab itu, pengamanan pengendali SD-WAN menjadi bagian penting dari strategi keamanan jaringan.
Risiko Keamanan Cisco Catalyst SD-WAN akibat Authentication Bypass
Serangan yang dianalisis Cisco menggunakan kelemahan keamanan yang tercatat sebagai CVE-2026-20127. Masalah pada perangkat lunak tersebut memungkinkan terlewatinya pemeriksaan autentikasi. Apabila sistem belum mendapatkan perbaikan, penyerang jarak jauh mungkin mendapatkan kendali administratif tanpa autentikasi normal. Masalah autentikasi tersebut mendapat skor CVSS 10,0. Skor keamanan tersebut menegaskan pentingnya pemasangan pembaruan. Perlu dipahami, keberadaan kerentanan tidak berarti seluruh perangkat otomatis terinfeksi.
Pengumuman awal mengenai CVE-2026-20127 dilakukan pada Februari 2026. Sebagai langkah penanganan, Cisco menerbitkan pembaruan keamanan bagi versi terdampak. Meski perbaikan tersedia, perangkat yang tidak mendapatkan penanganan sesuai rekomendasi tetap berpotensi menjadi sasaran. Sebagai langkah keamanan tambahan, organisasi perlu memeriksa kemungkinan kompromi sebelumnya. Pemeriksaan tersebut diperlukan sebab pemasangan patch belum tentu membersihkan seluruh komponen berbahaya. Berdasarkan pertimbangan tersebut, penanganan celah keamanan sebaiknya menjadi bagian dari proses respons insiden yang lebih menyeluruh.
Fungsi Backdoor dan Pengumpulan Kunci Enkripsi pada KeyDrift
Dari hasil pemeriksaan terhadap malware, KeyDrift menggunakan beberapa komponen dengan fungsi berbeda. Modul penting dalam kerangka malware tersebut adalah PolyFlame yang beroperasi di dalam memori proses pengendali. Perangkat lunak berbahaya ini memiliki kemampuan backdoor. Berkat fungsi kendali jarak jauh, penyerang dapat mengendalikan fungsi tertentu pada perangkat. PolyFlame juga mampu meneruskan perintah antarperangkat. Fungsi yang terintegrasi tersebut membuat deteksi menjadi lebih menantang.
Modul tambahan dalam KeyDrift adalah LittleFilch yang memiliki kemampuan memperoleh data terkait kunci jaringan. Perangkat lunak LittleFilch beroperasi di dalam konteks layanan jaringan yang telah disusupi. Berkat keberadaannya di lingkungan pengendali, malware berpotensi membaca bagian komunikasi yang sudah diproses. Cisco Talos menilai, salah satu informasi yang diambil berisi data yang diperkirakan digunakan untuk enkripsi AES-256. Data kunci yang menjadi sasaran sangat sensitif bagi keamanan jaringan. Walaupun kemampuan pengumpulan telah diidentifikasi, keberhasilan pengiriman semua data kepada pelaku belum dapat dipastikan.
Pencurian Kunci Enkripsi Menimbulkan Risiko bagi Jaringan Perusahaan
Ketika bisnis menghubungkan beberapa lokasi operasional, enkripsi berfungsi menjaga kerahasiaan komunikasi. Mekanisme perlindungan ini mengubah informasi menjadi bentuk yang tidak mudah dibaca. Walaupun algoritma kriptografi yang kuat digunakan, keamanan komunikasi juga bergantung pada perlindungan kuncinya. Apabila kunci berhasil diperoleh penyerang, risiko terganggunya kerahasiaan data perlu dipertimbangkan. Kondisi tersebut menjelaskan mengapa KeyDrift menjadi ancaman serius bagi organisasi.
Melalui sistem pengelolaan lalu lintas jaringan, perangkat edge menggunakan sistem kontrol dalam pembentukan koneksi aman. Perangkat pengelola komunikasi tersebut memiliki akses terhadap informasi penting. Ketika malware berada di dalam proses pengendali, ancaman tidak hanya berasal dari penyadapan jaringan luar. Kondisi ini menegaskan pentingnya pengamanan infrastruktur pengelola kunci. Organisasi juga perlu melindungi sistem pengelolaan kunci serta mengidentifikasi perilaku tidak biasa.
Cisco Mengungkap Kelompok UAT-11473 dan Target Serangan KeyDrift
Cisco Talos mengaitkan penggunaan KeyDrift dengan aktor siber yang dilacak sebagai UAT-11473. Dari hasil analisis terhadap sasaran serangan, kelompok tersebut memperlihatkan ketertarikan pada industri tertentu. Kategori target yang disebutkan meliputi sektor layanan ruang angkasa, industri pertahanan serta aerospace, serta penelitian kebijakan. Fokus pada sektor strategis tersebut menunjukkan potensi kegiatan spionase siber. Perlu ditekankan, keberadaan sasaran dalam sektor tertentu tidak berarti setiap organisasi pada bidang itu telah terinfeksi.
Melalui pemeriksaan hubungan antarserver dan perangkat, Cisco Talos menemukan kemiripan signifikan antara operasi UAT-11473 dan infrastruktur covert access yang dikenal sebagai Silent Train. Sistem perantara komunikasi itu pernah dikaitkan dengan aktivitas Volt Typhoon. Namun demikian, Cisco Talos tidak mengonfirmasi bahwa pelaku KeyDrift dan Volt Typhoon adalah kelompok identik. Kehati-hatian dalam menghubungkan kelompok membantu menghindari kesimpulan yang terlalu jauh. Dalam investigasi serangan digital, penggunaan infrastruktur serupa tidak selalu membuktikan kesamaan organisasi.
Cara Mengurangi Risiko Serangan terhadap Kunci Enkripsi Perusahaan
Cisco menyarankan organisasi untuk segera memasang pembaruan keamanan yang tersedia. Langkah patching ini membantu mengurangi peluang akses tanpa autentikasi. Selain melakukan pembaruan, perusahaan sebaiknya menjalankan evaluasi terhadap kemungkinan infeksi. Aktivitas investigasi ini membutuhkan analisis terhadap proses dan berkas mencurigakan. Ketika aktivitas tidak sah teridentifikasi, organisasi perlu melibatkan tim keamanan yang berwenang. Tindakan tersebut berpotensi mengurangi risiko gangguan berkelanjutan.
Selain pemeriksaan internal, administrator dianjurkan mengikuti panduan hardening Cisco Catalyst SD-WAN. Penguatan keamanan tersebut mendukung pengendalian komponen jaringan yang sensitif. Untuk membantu pemantauan ancaman, tersedia aturan Snort yang berkaitan dengan aktivitas KeyDrift. Kemampuan deteksi ini berpotensi membantu identifikasi aktivitas mencurigakan. Walaupun signature telah tersedia, tidak adanya peringatan bukan jaminan perangkat bebas infeksi. Sebagai tindakan pengamanan berikutnya, perusahaan bisa memeriksa apakah informasi kriptografi perlu diperbarui berdasarkan rekomendasi penanganan dari tim keamanan terkait. Apabila membutuhkan bantuan teknis, administrator sebaiknya membuka permintaan dukungan kepada Cisco TAC.
Penelitian Cisco Menegaskan Pentingnya Pengamanan Sistem SD-WAN
Pengungkapan aktivitas KeyDrift pada Cisco SD-WAN menjadi peringatan penting bagi keamanan jaringan perusahaan. Dengan memanfaatkan celah autentikasi kritis, kelompok UAT-11473 dilaporkan memperoleh akses tidak sah. Arsitektur malware dengan kemampuan kendali dan pengumpulan informasi menunjukkan risiko terhadap material enkripsi. Dengan mempertimbangkan ancaman tersebut, organisasi perlu melengkapi pembaruan dengan pemeriksaan kompromi. Penelitian mengenai serangan terhadap sistem jaringan tersebut menunjukkan pentingnya strategi pertahanan berlapis. Bagaimana pendapat Anda, apakah ancaman seperti KeyDrift akan mendorong peningkatan investasi keamanan siber? Sampaikan pendapat Anda mengenai langkah melindungi infrastruktur digital dari serangan berkelanjutan.
