Cisco Talos mengungkap keberadaan malware berbahaya bernama KeyDrift yang dirancang untuk mencuri material kunci enkripsi pada infrastruktur jaringan perusahaan. Temuan yang diumumkan pada 28 Oktober 2026 ini berkaitan dengan aktivitas kelompok ancaman UAT-11473 yang mengeksploitasi kerentanan kritis pada Cisco Catalyst SD-WAN. Malware tersebut dapat beroperasi di dalam proses pengendali jaringan, mempertahankan akses tersembunyi, dan mengumpulkan informasi sensitif terkait komunikasi antarperangkat. Perkembangan ini menjadi perhatian penting dalam industri TEKNOLOGI keamanan siber karena menunjukkan bahwa perlindungan jaringan tidak cukup hanya mengandalkan enkripsi. Perusahaan juga perlu memastikan perangkat pengelola jaringan terlindungi dari akses tidak sah.
Cisco Talos Mengidentifikasi Malware KeyDrift pada Infrastruktur SD-WAN
Cisco Talos mengidentifikasi KeyDrift sebagai perangkat lunak berbahaya yang dirancang menyerang pengendali jaringan. Perangkat lunak berbahaya ini diidentifikasi dalam operasi kelompok ancaman UAT-11473. Aktor ancaman yang dianalisis dilaporkan mengeksploitasi kerentanan autentikasi untuk memperoleh akses tidak sah. Ketika perangkat telah dikompromikan, penyerang menjalankan perangkat lunak berbahaya yang berupaya mempertahankan keberadaannya. Hasil analisis ini memperlihatkan risiko serangan pada infrastruktur inti.
Tidak seperti ancaman yang berfokus pada laptop karyawan, KeyDrift menargetkan komponen pengendali jaringan. Sasaran tersebut memiliki dampak keamanan yang berbeda. Ketika perusahaan menggunakan pengelolaan jaringan berbasis perangkat lunak, pengendali berperan mengatur hubungan antarperangkat. Jika penyerang memperoleh kendali terhadap infrastruktur tersebut, informasi yang digunakan untuk membangun koneksi aman berpotensi terekspos kepada pelaku. Dengan mempertimbangkan risiko ini, pengamanan pengendali SD-WAN menjadi bagian penting dari strategi keamanan jaringan.
Kerentanan CVE-2026-20127 Menjadi Jalur Masuk Serangan KeyDrift
Operasi kelompok UAT-11473 memanfaatkan kerentanan CVE-2026-20127. Masalah pada perangkat lunak tersebut merupakan kelemahan authentication bypass. Ketika perangkat masih menggunakan versi terdampak, penyerang jarak jauh dapat melewati mekanisme login yang seharusnya membatasi akses. Masalah autentikasi tersebut mendapat skor CVSS 10,0. Tingkat keparahan itu menunjukkan perlunya penanganan segera. Sebagai batasan penting, keberadaan kerentanan belum membuktikan setiap sistem telah disusupi.
Cisco telah mengungkap kerentanan tersebut pada Februari 2026. Untuk mengurangi risiko, Cisco merilis pembaruan keamanan bagi versi terdampak. Akan tetapi, perangkat yang masih menjalankan versi rentan memerlukan perhatian khusus dari administrator. Selain pembaruan, organisasi harus mengevaluasi riwayat aktivitas mencurigakan. Pemeriksaan tersebut diperlukan sebab pemasangan patch belum tentu membersihkan seluruh komponen berbahaya. Dengan demikian, penanganan celah keamanan sebaiknya menjadi bagian dari proses respons insiden yang lebih menyeluruh.
Cara Malware KeyDrift Beroperasi dalam Sistem Cisco SD-WAN
Berdasarkan analisis Cisco Talos, KeyDrift memiliki arsitektur yang terdiri atas sejumlah modul. Modul penting dalam kerangka malware tersebut adalah PolyFlame yang beroperasi di dalam memori proses pengendali. Perangkat lunak berbahaya ini dapat mempertahankan jalur kendali tidak sah. Berkat fungsi kendali jarak jauh, penyerang dapat mengendalikan fungsi tertentu pada perangkat. Di samping menyediakan akses tersembunyi, PolyFlame berfungsi sebagai penghubung infrastruktur command-and-control. Fungsi yang terintegrasi tersebut membuat deteksi menjadi lebih menantang.
Modul tambahan dalam KeyDrift adalah LittleFilch yang dirancang mengekstraksi informasi enkripsi. Modul tersebut beroperasi di dalam konteks layanan jaringan yang telah disusupi. Melalui akses terhadap proses kontrol, malware mampu mengakses data sensitif pada tahap pemrosesan internal. Cisco Talos menilai, salah satu informasi yang diambil diduga berkaitan dengan kunci enkripsi AES-256. Informasi tersebut memerlukan penanganan dengan tingkat perlindungan tinggi. Namun demikian, keberhasilan pengiriman semua data kepada pelaku masih memiliki keterbatasan bukti dalam laporan penelitian.
Mengapa Material Kunci AES-256 Menjadi Sasaran Serangan Siber
Dalam infrastruktur perusahaan modern, enkripsi membantu melindungi pertukaran informasi. Mekanisme perlindungan ini membatasi kemampuan pihak tidak berwenang memahami lalu lintas. Meskipun enkripsi merupakan perlindungan penting, keamanan komunikasi juga bergantung pada perlindungan kuncinya. Ketika informasi kriptografi jatuh ke pihak tidak berwenang, risiko terganggunya kerahasiaan data perlu dipertimbangkan. Kondisi tersebut menjelaskan mengapa KeyDrift menjadi ancaman serius bagi organisasi.
Melalui sistem pengelolaan lalu lintas jaringan, perangkat edge memanfaatkan controller untuk distribusi material enkripsi. Pengendali tersebut menangani data yang diperlukan untuk koneksi antarlokasi. Saat perangkat lunak berbahaya mengakses lingkungan internal, ancaman berpotensi memanfaatkan informasi yang tersedia di dalam layanan sah. Situasi tersebut menjelaskan mengapa enkripsi saja belum cukup. Organisasi juga perlu mengawasi proses yang memiliki hak istimewa serta mengidentifikasi perilaku tidak biasa.
Cisco Mengungkap Kelompok UAT-11473 dan Target Serangan KeyDrift
Peneliti keamanan Cisco menghubungkan penggunaan KeyDrift dengan operasi kelompok penyerang UAT-11473. Menurut laporan aktivitas ancaman, kelompok tersebut memperlihatkan ketertarikan pada industri tertentu. Bidang organisasi yang menjadi sasaran meliputi industri komunikasi satelit dan antariksa, industri pertahanan serta aerospace, serta organisasi analisis kebijakan strategis. Pemilihan sasaran tersebut mengindikasikan kepentingan terhadap informasi bernilai tinggi. Perlu ditekankan, keberadaan sasaran dalam sektor tertentu bukan bukti semua perusahaan terkait menjadi korban.
Dalam penelitian lanjutan, Cisco Talos melaporkan hubungan infrastruktur yang cukup besar antara operasi UAT-11473 dan jaringan akses tersembunyi Silent Train. Infrastruktur tersebut telah muncul dalam penelitian mengenai kelompok Volt Typhoon. Namun demikian, Cisco Talos belum memastikan kedua kelompok memiliki identitas yang sama. Kehati-hatian dalam menghubungkan kelompok merupakan bagian dari analisis ancaman yang bertanggung jawab. Dalam keamanan siber, penggunaan infrastruktur serupa memerlukan dukungan bukti tambahan sebelum atribusi dipastikan.
Rekomendasi Cisco untuk Mengamankan Infrastruktur SD-WAN
Tim keamanan Cisco merekomendasikan perusahaan untuk segera memasang pembaruan keamanan yang tersedia. Pemasangan perbaikan keamanan bertujuan mencegah penyalahgunaan celah yang diketahui. Di samping menutup kerentanan, perusahaan perlu memeriksa tanda aktivitas pascakompromi. Aktivitas investigasi ini dapat mencakup peninjauan log autentikasi. Ketika aktivitas tidak sah teridentifikasi, organisasi sebaiknya segera mengaktifkan prosedur respons insiden. Tindakan tersebut membantu membatasi dampak serangan.
Di samping evaluasi perangkat, administrator perlu menerapkan konfigurasi pengamanan resmi. Penerapan konfigurasi yang lebih ketat bertujuan mengurangi permukaan serangan. Untuk membantu pemantauan ancaman, tersedia aturan Snort yang ditujukan untuk mengenali indikator malware. Aturan tersebut dapat digunakan sebagai bagian dari pemantauan jaringan. Walaupun signature telah tersedia, tidak adanya peringatan bukan jaminan perangkat bebas infeksi. Dalam proses pemulihan, tim keamanan dapat menilai kebutuhan rotasi material kunci berdasarkan tingkat kompromi yang ditemukan. Jika ditemukan tanda serangan yang sulit ditangani, administrator dapat menghubungi Cisco Technical Assistance Center.
Penelitian Cisco Menegaskan Pentingnya Pengamanan Sistem SD-WAN
Hasil investigasi Cisco terhadap kerangka malware KeyDrift menunjukkan pentingnya perlindungan komponen inti infrastruktur digital. Berkat penyalahgunaan kerentanan pada perangkat pengendali, kelompok UAT-11473 berhasil menjalankan aktivitas penyusupan pada sistem terdampak. Kombinasi modul backdoor serta pengumpul kunci menunjukkan risiko terhadap material enkripsi. Oleh sebab itu, organisasi tidak cukup hanya memasang patch. Temuan terbaru dalam analisis ancaman digital menunjukkan pentingnya strategi pertahanan berlapis. Bagaimana pendapat Anda, apakah perusahaan sudah cukup siap menghadapi malware yang menargetkan kunci enkripsi? Ceritakan pemikiran Anda mengenai pentingnya keamanan jaringan perusahaan.
