Cisco Talos mengungkap keberadaan malware berbahaya bernama KeyDrift yang dirancang untuk mencuri material kunci enkripsi pada infrastruktur jaringan perusahaan. Temuan yang diumumkan pada 28 Oktober 2026 ini berkaitan dengan aktivitas kelompok ancaman UAT-11473 yang mengeksploitasi kerentanan kritis pada Cisco Catalyst SD-WAN. Malware tersebut dapat beroperasi di dalam proses pengendali jaringan, mempertahankan akses tersembunyi, dan mengumpulkan informasi sensitif terkait komunikasi antarperangkat. Perkembangan ini menjadi perhatian penting dalam industri TEKNOLOGI keamanan siber karena menunjukkan bahwa perlindungan jaringan tidak cukup hanya mengandalkan enkripsi. Perusahaan juga perlu memastikan perangkat pengelola jaringan terlindungi dari akses tidak sah.
Mengenal Ancaman KeyDrift terhadap Keamanan Jaringan Perusahaan
Tim keamanan siber Cisco Talos menemukan KeyDrift sebagai kerangka malware khusus yang menargetkan Cisco SD-WAN. Malware yang ditemukan berkaitan dengan kelompok UAT-11473. Aktor ancaman yang dianalisis terindikasi menggunakan celah keamanan pada sistem login untuk mengambil alih kemampuan administratif tertentu. Ketika perangkat telah dikompromikan, penyerang memasang komponen malware khusus yang mendukung pengendalian sistem secara berkelanjutan. Penelitian keamanan tersebut memperlihatkan risiko serangan pada infrastruktur inti.
Tidak seperti ancaman yang berfokus pada laptop karyawan, KeyDrift beroperasi pada bagian penting infrastruktur komunikasi. Sasaran tersebut berpotensi memengaruhi kerahasiaan komunikasi antarwilayah. Ketika perusahaan menggunakan pengelolaan jaringan berbasis perangkat lunak, pengendali membantu mendistribusikan informasi konektivitas. Ketika sistem pengendali berhasil dikompromikan, informasi yang melewati proses pengelolaan jaringan dapat menjadi sasaran pencurian. Karena alasan tersebut, pengamanan pengendali SD-WAN perlu diperhatikan oleh administrator.
Risiko Keamanan Cisco Catalyst SD-WAN akibat Authentication Bypass
Serangan yang dianalisis Cisco berkaitan dengan eksploitasi celah CVE-2026-20127. Kerentanan tersebut berkaitan dengan kegagalan pembatasan akses berdasarkan identitas. Ketika perangkat masih menggunakan versi terdampak, penyerang jarak jauh dapat melewati mekanisme login yang seharusnya membatasi akses. Kerentanan keamanan ini dikategorikan sangat kritis dengan skor CVSS 10,0. Skor keamanan tersebut menegaskan pentingnya pemasangan pembaruan. Namun demikian, keberadaan kerentanan tidak berarti seluruh perangkat otomatis terinfeksi.
Cisco telah mengungkap kerentanan tersebut pada Februari 2026. Perusahaan juga menyediakan pembaruan keamanan bagi versi terdampak. Meski perbaikan tersedia, perangkat yang belum diperbarui tetap berpotensi menjadi sasaran. Di samping proses patching, organisasi sebaiknya melakukan investigasi terhadap akses tidak sah. Pemeriksaan tersebut diperlukan sebab pemasangan patch tidak otomatis menghapus malware yang sudah tertanam. Oleh karena itu, penanganan celah keamanan perlu dilengkapi pemantauan pascaeksploitasi.
Fungsi Backdoor dan Pengumpulan Kunci Enkripsi pada KeyDrift
Berdasarkan analisis Cisco Talos, KeyDrift mengandalkan perangkat lunak tambahan untuk menjalankan tugas tertentu. Bagian inti dari KeyDrift adalah PolyFlame yang beroperasi di dalam memori proses pengendali. Komponen tersebut dapat mempertahankan jalur kendali tidak sah. Berkat fungsi kendali jarak jauh, penyerang mampu menggunakan perangkat yang telah terinfeksi sebagai perantara komunikasi. PolyFlame juga berfungsi sebagai penghubung infrastruktur command-and-control. Fungsi yang terintegrasi tersebut memerlukan analisis keamanan di luar pemeriksaan aplikasi biasa.
Bagian berikutnya dari kerangka malware adalah LittleFilch yang berfokus pada pengumpulan material kunci. Komponen pengumpulan informasi ini beroperasi di dalam konteks layanan jaringan yang telah disusupi. Melalui akses terhadap proses kontrol, malware mampu mengakses data sensitif pada tahap pemrosesan internal. Menurut penilaian peneliti keamanan, salah satu informasi yang diambil diduga berkaitan dengan kunci enkripsi AES-256. Informasi tersebut sangat sensitif bagi keamanan jaringan. Namun demikian, keberhasilan pengiriman semua data kepada pelaku belum dapat dipastikan.
Dampak Malware KeyDrift terhadap Keamanan Komunikasi SD-WAN
Ketika bisnis menghubungkan beberapa lokasi operasional, enkripsi berfungsi menjaga kerahasiaan komunikasi. Sistem kriptografi tersebut mengubah informasi menjadi bentuk yang tidak mudah dibaca. Namun demikian, keamanan komunikasi juga bergantung pada perlindungan kuncinya. Ketika informasi kriptografi jatuh ke pihak tidak berwenang, risiko penyalahgunaan informasi jaringan menjadi lebih besar. Kondisi tersebut menjelaskan mengapa KeyDrift mendapat perhatian khusus dari peneliti keamanan.
Melalui sistem pengelolaan lalu lintas jaringan, perangkat edge memanfaatkan controller untuk distribusi material enkripsi. Komponen kontrol jaringan ini menangani data yang diperlukan untuk koneksi antarlokasi. Saat perangkat lunak berbahaya mengakses lingkungan internal, ancaman berpotensi memanfaatkan informasi yang tersedia di dalam layanan sah. Kondisi ini menegaskan pentingnya pengamanan infrastruktur pengelola kunci. Organisasi juga perlu mengawasi proses yang memiliki hak istimewa serta mengidentifikasi perilaku tidak biasa.
Aktivitas Ancaman terhadap Industri Strategis dan Infrastruktur Penting
Dalam hasil investigasinya, Cisco Talos mengidentifikasi penggunaan KeyDrift dengan aktor siber yang dilacak sebagai UAT-11473. Berdasarkan pengamatan peneliti, kelompok tersebut terlihat menargetkan beberapa sektor strategis. Bidang organisasi yang menjadi sasaran meliputi industri komunikasi satelit dan antariksa, organisasi bidang pertahanan dan penerbangan, serta lembaga kajian kebijakan. Pemilihan sasaran tersebut mengindikasikan kepentingan terhadap informasi bernilai tinggi. Sebagai batasan informasi, keberadaan sasaran dalam sektor tertentu harus dibedakan dari daftar korban yang telah terkonfirmasi.
Dalam penelitian lanjutan, Cisco Talos melaporkan hubungan infrastruktur yang cukup besar antara operasi UAT-11473 dan jaringan perantara operasi siber bernama Silent Train. Sistem perantara komunikasi itu telah muncul dalam penelitian mengenai kelompok Volt Typhoon. Meski hubungan teknis tersebut menarik, Cisco Talos tidak menyatakan bahwa UAT-11473 merupakan Volt Typhoon. Perbedaan tersebut membantu menghindari kesimpulan yang terlalu jauh. Pada kegiatan threat intelligence, penggunaan infrastruktur serupa tidak selalu membuktikan kesamaan organisasi.
Rekomendasi Cisco untuk Mengamankan Infrastruktur SD-WAN
Dalam panduan penanganannya, Cisco mendorong administrator untuk segera memasang pembaruan keamanan yang tersedia. Langkah patching ini bertujuan mencegah penyalahgunaan celah yang diketahui. Di samping menutup kerentanan, perusahaan perlu memeriksa tanda aktivitas pascakompromi. Pemeriksaan tersebut membutuhkan analisis terhadap proses dan berkas mencurigakan. Ketika aktivitas tidak sah teridentifikasi, organisasi harus melakukan penanganan sesuai kebijakan keamanan perusahaan. Pendekatan penanganan ini berpotensi mengurangi risiko gangguan berkelanjutan.
Selain pemeriksaan internal, administrator sebaiknya meninjau rekomendasi penguatan sistem dari Cisco. Penguatan keamanan tersebut membantu membatasi jalur akses yang tidak diperlukan. Sebagai dukungan deteksi, Cisco menerbitkan aturan Snort yang berkaitan dengan aktivitas KeyDrift. Signature keamanan tersebut mendukung sistem pencegahan intrusi yang sesuai. Meski deteksi berbasis aturan bermanfaat, tidak adanya peringatan bukan jaminan perangkat bebas infeksi. Dalam proses pemulihan, tim keamanan dapat mengevaluasi penggantian kredensial dan kunci yang terdampak berdasarkan tingkat kompromi yang ditemukan. Apabila membutuhkan bantuan teknis, administrator bisa meminta bantuan melalui layanan Cisco TAC.
Ancaman Pencurian Kunci Enkripsi Membutuhkan Perlindungan Berlapis
Hasil investigasi Cisco terhadap kerangka malware KeyDrift menunjukkan pentingnya perlindungan komponen inti infrastruktur digital. Berkat penyalahgunaan kerentanan pada perangkat pengendali, kelompok UAT-11473 dilaporkan memperoleh akses tidak sah. Arsitektur malware dengan kemampuan kendali dan pengumpulan informasi menunjukkan risiko terhadap material enkripsi. Dengan mempertimbangkan ancaman tersebut, organisasi harus menerapkan pengamanan serta pemantauan berkelanjutan. Perkembangan TEKNOLOGI keamanan siber ini menegaskan kebutuhan melindungi proses pengelolaan kunci. Menurut Anda, apakah perusahaan sudah cukup siap menghadapi malware yang menargetkan kunci enkripsi? Sampaikan pendapat Anda mengenai ancaman KeyDrift.
