Cisco Talos mengungkap keberadaan malware berbahaya bernama KeyDrift yang dirancang untuk mencuri material kunci enkripsi pada infrastruktur jaringan perusahaan. Temuan yang diumumkan pada 28 Oktober 2026 ini berkaitan dengan aktivitas kelompok ancaman UAT-11473 yang mengeksploitasi kerentanan kritis pada Cisco Catalyst SD-WAN. Malware tersebut dapat beroperasi di dalam proses pengendali jaringan, mempertahankan akses tersembunyi, dan mengumpulkan informasi sensitif terkait komunikasi antarperangkat. Perkembangan ini menjadi perhatian penting dalam industri TEKNOLOGI keamanan siber karena menunjukkan bahwa perlindungan jaringan tidak cukup hanya mengandalkan enkripsi. Perusahaan juga perlu memastikan perangkat pengelola jaringan terlindungi dari akses tidak sah.
Mengenal Ancaman KeyDrift terhadap Keamanan Jaringan Perusahaan
Para peneliti ancaman digital Cisco mengungkap KeyDrift sebagai kerangka malware khusus yang menargetkan Cisco SD-WAN. Ancaman tersebut diidentifikasi dalam operasi kelompok ancaman UAT-11473. Kelompok tersebut diketahui memanfaatkan kelemahan pemeriksaan identitas untuk mengambil alih kemampuan administratif tertentu. Setelah akses diperoleh, penyerang mengaktifkan mekanisme akses tersembunyi yang berupaya mempertahankan keberadaannya. Temuan tersebut memperlihatkan risiko serangan pada infrastruktur inti.
Tidak seperti ancaman yang berfokus pada laptop karyawan, KeyDrift beroperasi pada bagian penting infrastruktur komunikasi. Pemilihan komponen jaringan ini berpotensi memengaruhi kerahasiaan komunikasi antarwilayah. Dalam jaringan SD-WAN, pengendali membantu mendistribusikan informasi konektivitas. Jika penyerang memperoleh kendali terhadap infrastruktur tersebut, informasi yang melewati proses pengelolaan jaringan dapat menjadi sasaran pencurian. Karena alasan tersebut, pengamanan pengendali SD-WAN harus menjadi prioritas perusahaan.
Kerentanan CVE-2026-20127 Menjadi Jalur Masuk Serangan KeyDrift
Operasi kelompok UAT-11473 menggunakan kelemahan keamanan yang tercatat sebagai CVE-2026-20127. Masalah pada perangkat lunak tersebut berkaitan dengan kegagalan pembatasan akses berdasarkan identitas. Ketika perangkat masih menggunakan versi terdampak, penyerang jarak jauh mungkin mendapatkan kendali administratif tanpa autentikasi normal. Kerentanan keamanan ini memiliki penilaian keparahan maksimum 10,0. Tingkat keparahan itu menjadi alasan untuk memprioritaskan mitigasi. Sebagai batasan penting, keberadaan kerentanan belum membuktikan setiap sistem telah disusupi.
Pengumuman awal mengenai CVE-2026-20127 dilakukan pada Februari 2026. Perusahaan juga menyediakan perbaikan perangkat lunak yang diperlukan. Akan tetapi, perangkat yang masih menjalankan versi rentan tetap berpotensi menjadi sasaran. Di samping proses patching, organisasi sebaiknya melakukan investigasi terhadap akses tidak sah. Pemeriksaan tersebut diperlukan sebab pemasangan patch tidak otomatis menghapus malware yang sudah tertanam. Dengan demikian, penanganan celah keamanan sebaiknya menjadi bagian dari proses respons insiden yang lebih menyeluruh.
Cara Malware KeyDrift Beroperasi dalam Sistem Cisco SD-WAN
Berdasarkan analisis Cisco Talos, KeyDrift memiliki arsitektur yang terdiri atas sejumlah modul. Modul penting dalam kerangka malware tersebut adalah PolyFlame yang beroperasi di dalam memori proses pengendali. Modul PolyFlame dapat mempertahankan jalur kendali tidak sah. Melalui kemampuan tersebut, penyerang berpotensi menjalankan perintah pada sistem. Di samping menyediakan akses tersembunyi, PolyFlame dapat bertindak sebagai relay komunikasi. Fungsi yang terintegrasi tersebut membuat deteksi menjadi lebih menantang.
Komponen lain yang ditemukan adalah LittleFilch yang memiliki kemampuan memperoleh data terkait kunci jaringan. Perangkat lunak LittleFilch beroperasi di dalam konteks layanan jaringan yang telah disusupi. Dengan berada pada posisi tersebut, malware mampu mengakses data sensitif pada tahap pemrosesan internal. Menurut penilaian peneliti keamanan, salah satu informasi yang diambil diduga berkaitan dengan kunci enkripsi AES-256. Material kriptografi itu memiliki peran penting dalam perlindungan komunikasi. Meski fungsi malware sudah dianalisis, keberhasilan pengiriman semua data kepada pelaku masih memiliki keterbatasan bukti dalam laporan penelitian.
Dampak Malware KeyDrift terhadap Keamanan Komunikasi SD-WAN
Dalam infrastruktur perusahaan modern, enkripsi membantu melindungi pertukaran informasi. Teknologi tersebut mengubah informasi menjadi bentuk yang tidak mudah dibaca. Walaupun algoritma kriptografi yang kuat digunakan, keamanan komunikasi memerlukan pengelolaan material rahasia yang tepat. Ketika informasi kriptografi jatuh ke pihak tidak berwenang, risiko terbukanya komunikasi tertentu dapat meningkat. Hal tersebut menjadi alasan bahwa KeyDrift mendapat perhatian khusus dari peneliti keamanan.
Dalam mekanisme SD-WAN tertentu, perangkat edge dapat bertukar informasi kunci melalui pengendali. Komponen kontrol jaringan ini berperan dalam koordinasi komunikasi terenkripsi. Saat perangkat lunak berbahaya mengakses lingkungan internal, ancaman berpotensi memanfaatkan informasi yang tersedia di dalam layanan sah. Karakteristik serangan tersebut membuktikan perlunya pendekatan keamanan berlapis. Sebagai bagian dari perlindungan tambahan, perusahaan harus membatasi akses administratif serta mengidentifikasi perilaku tidak biasa.
Cisco Mengungkap Kelompok UAT-11473 dan Target Serangan KeyDrift
Cisco Talos mengaitkan penggunaan KeyDrift dengan kelompok ancaman UAT-11473. Dari hasil analisis terhadap sasaran serangan, kelompok tersebut dilaporkan membidik organisasi dengan aktivitas sensitif. Sektor yang diamati meliputi layanan antariksa dan satelit, organisasi bidang pertahanan dan penerbangan, serta lembaga kajian kebijakan. Fokus pada sektor strategis tersebut menjadi perhatian dalam analisis operasi ancaman berkelanjutan. Sebagai batasan informasi, keberadaan sasaran dalam sektor tertentu bukan bukti semua perusahaan terkait menjadi korban.
Sebagai bagian dari analisis infrastruktur serangan, Cisco Talos menemukan kemiripan signifikan antara operasi UAT-11473 dan jaringan akses tersembunyi Silent Train. Jaringan tersembunyi ini dikenal dalam analisis operasi Volt Typhoon. Namun demikian, Cisco Talos tidak menyatakan bahwa UAT-11473 merupakan Volt Typhoon. Kehati-hatian dalam menghubungkan kelompok merupakan bagian dari analisis ancaman yang bertanggung jawab. Pada kegiatan threat intelligence, penggunaan infrastruktur serupa memerlukan dukungan bukti tambahan sebelum atribusi dipastikan.
Rekomendasi Cisco untuk Mengamankan Infrastruktur SD-WAN
Dalam panduan penanganannya, Cisco mendorong administrator untuk memprioritaskan perbaikan terhadap CVE-2026-20127. Pemasangan perbaikan keamanan bertujuan mencegah penyalahgunaan celah yang diketahui. Selain melakukan pembaruan, perusahaan sebaiknya menjalankan evaluasi terhadap kemungkinan infeksi. Aktivitas investigasi ini meliputi evaluasi perubahan layanan sistem. Ketika aktivitas tidak sah teridentifikasi, organisasi sebaiknya segera mengaktifkan prosedur respons insiden. Tindakan tersebut membantu membatasi dampak serangan.
Di samping evaluasi perangkat, administrator perlu menerapkan konfigurasi pengamanan resmi. Proses hardening ini bertujuan mengurangi permukaan serangan. Untuk membantu pemantauan ancaman, tersedia aturan Snort yang berkaitan dengan aktivitas KeyDrift. Kemampuan deteksi ini berpotensi membantu identifikasi aktivitas mencurigakan. Meski deteksi berbasis aturan bermanfaat, tidak adanya peringatan bukan jaminan perangkat bebas infeksi. Organisasi juga dapat menilai kebutuhan rotasi material kunci berdasarkan hasil investigasi dan panduan resmi. Apabila membutuhkan bantuan teknis, administrator dapat menghubungi Cisco Technical Assistance Center.
Kesimpulan: KeyDrift Menjadi Peringatan Keamanan Infrastruktur Jaringan
Pengungkapan aktivitas KeyDrift pada Cisco SD-WAN menjadi peringatan penting bagi keamanan jaringan perusahaan. Dengan memanfaatkan celah autentikasi kritis, kelompok UAT-11473 teridentifikasi melakukan operasi terhadap infrastruktur SD-WAN. Arsitektur malware dengan kemampuan kendali dan pengumpulan informasi menegaskan perlunya pemantauan keamanan mendalam. Oleh sebab itu, organisasi perlu melengkapi pembaruan dengan pemeriksaan kompromi. Temuan terbaru dalam analisis ancaman digital mendorong perusahaan memperkuat tata kelola keamanan. Menurut Anda, apakah ancaman seperti KeyDrift akan mendorong peningkatan investasi keamanan siber? Sampaikan pendapat Anda mengenai ancaman KeyDrift.
