Cisco Talos mengungkap keberadaan malware berbahaya bernama KeyDrift yang dirancang untuk mencuri material kunci enkripsi pada infrastruktur jaringan perusahaan. Temuan yang diumumkan pada 28 Oktober 2026 ini berkaitan dengan aktivitas kelompok ancaman UAT-11473 yang mengeksploitasi kerentanan kritis pada Cisco Catalyst SD-WAN. Malware tersebut dapat beroperasi di dalam proses pengendali jaringan, mempertahankan akses tersembunyi, dan mengumpulkan informasi sensitif terkait komunikasi antarperangkat. Perkembangan ini menjadi perhatian penting dalam industri TEKNOLOGI keamanan siber karena menunjukkan bahwa perlindungan jaringan tidak cukup hanya mengandalkan enkripsi. Perusahaan juga perlu memastikan perangkat pengelola jaringan terlindungi dari akses tidak sah.
Cisco Talos Mengidentifikasi Malware KeyDrift pada Infrastruktur SD-WAN
Cisco Talos mengidentifikasi KeyDrift sebagai perangkat lunak berbahaya yang dirancang menyerang pengendali jaringan. Perangkat lunak berbahaya ini berkaitan dengan kelompok UAT-11473. Aktor ancaman yang dianalisis terindikasi menggunakan celah keamanan pada sistem login untuk mengambil alih kemampuan administratif tertentu. Setelah akses diperoleh, penyerang menjalankan perangkat lunak berbahaya yang mendukung pengendalian sistem secara berkelanjutan. Hasil analisis ini memperlihatkan risiko serangan pada infrastruktur inti.
Berbeda dari malware yang hanya menyerang komputer pengguna, KeyDrift menargetkan komponen pengendali jaringan. Pemilihan komponen jaringan ini berpotensi memengaruhi kerahasiaan komunikasi antarwilayah. Ketika perusahaan menggunakan pengelolaan jaringan berbasis perangkat lunak, pengendali membantu mendistribusikan informasi konektivitas. Apabila komponen tersebut disusupi, informasi yang mendukung pertukaran data antarperangkat memerlukan perlindungan tambahan. Karena alasan tersebut, pengamanan pengendali SD-WAN harus menjadi prioritas perusahaan.
Risiko Keamanan Cisco Catalyst SD-WAN akibat Authentication Bypass
Serangan yang dianalisis Cisco berkaitan dengan eksploitasi celah CVE-2026-20127. Masalah pada perangkat lunak tersebut berkaitan dengan kegagalan pembatasan akses berdasarkan identitas. Ketika perangkat masih menggunakan versi terdampak, penyerang jarak jauh dapat melewati mekanisme login yang seharusnya membatasi akses. Masalah autentikasi tersebut mendapat skor CVSS 10,0. Tingkat keparahan itu menegaskan pentingnya pemasangan pembaruan. Namun demikian, keberadaan kerentanan tidak berarti seluruh perangkat otomatis terinfeksi.
Cisco telah mengungkap kerentanan tersebut pada Februari 2026. Untuk mengurangi risiko, Cisco merilis perbaikan perangkat lunak yang diperlukan. Meski perbaikan tersedia, perangkat yang masih menjalankan versi rentan dapat menghadapi risiko eksploitasi. Sebagai langkah keamanan tambahan, organisasi harus mengevaluasi riwayat aktivitas mencurigakan. Pemeriksaan tersebut diperlukan sebab pemasangan patch tidak otomatis menghapus malware yang sudah tertanam. Dengan demikian, penanganan celah keamanan harus disertai evaluasi kondisi perangkat.
PolyFlame dan LittleFilch Menjadi Komponen Penting KeyDrift
Berdasarkan analisis Cisco Talos, KeyDrift memiliki arsitektur yang terdiri atas sejumlah modul. Modul penting dalam kerangka malware tersebut adalah PolyFlame yang beroperasi di dalam memori proses pengendali. Modul PolyFlame memiliki kemampuan backdoor. Dengan mekanisme akses yang dimilikinya, penyerang berpotensi menjalankan perintah pada sistem. Selain fungsi backdoor, modul ini mampu meneruskan perintah antarperangkat. Kemampuan operasional ini memerlukan analisis keamanan di luar pemeriksaan aplikasi biasa.
Komponen lain yang ditemukan adalah LittleFilch yang berfokus pada pengumpulan material kunci. Komponen pengumpulan informasi ini bekerja pada proses pengendali yang telah dikompromikan. Dengan berada pada posisi tersebut, malware dapat mengamati informasi setelah didekripsi. Cisco Talos menilai, salah satu informasi yang diambil diduga berkaitan dengan kunci enkripsi AES-256. Informasi tersebut sangat sensitif bagi keamanan jaringan. Namun demikian, keberhasilan pengiriman semua data kepada pelaku masih memiliki keterbatasan bukti dalam laporan penelitian.
Mengapa Material Kunci AES-256 Menjadi Sasaran Serangan Siber
Dalam infrastruktur perusahaan modern, enkripsi digunakan untuk mengamankan data selama transmisi. Mekanisme perlindungan ini membatasi kemampuan pihak tidak berwenang memahami lalu lintas. Walaupun algoritma kriptografi yang kuat digunakan, keamanan komunikasi tidak dapat dipisahkan dari keamanan proses pertukaran kunci. Ketika informasi kriptografi jatuh ke pihak tidak berwenang, risiko terganggunya kerahasiaan data perlu dipertimbangkan. Inilah sebabnya KeyDrift menjadi ancaman serius bagi organisasi.
Melalui sistem pengelolaan lalu lintas jaringan, perangkat edge menggunakan sistem kontrol dalam pembentukan koneksi aman. Komponen kontrol jaringan ini menangani data yang diperlukan untuk koneksi antarlokasi. Saat perangkat lunak berbahaya mengakses lingkungan internal, ancaman dapat muncul dari akses terhadap data setelah diproses. Kondisi ini membuktikan perlunya pendekatan keamanan berlapis. Dalam strategi keamanan menyeluruh, tim TI sebaiknya mengawasi proses yang memiliki hak istimewa serta memeriksa kemungkinan kompromi.
Hubungan Infrastruktur Serangan KeyDrift dengan Jaringan Silent Train
Dalam hasil investigasinya, Cisco Talos mengidentifikasi penggunaan KeyDrift dengan operasi kelompok penyerang UAT-11473. Dari hasil analisis terhadap sasaran serangan, kelompok tersebut terlihat menargetkan beberapa sektor strategis. Kategori target yang disebutkan meliputi sektor layanan ruang angkasa, organisasi bidang pertahanan dan penerbangan, serta lembaga kajian kebijakan. Fokus pada sektor strategis tersebut mengindikasikan kepentingan terhadap informasi bernilai tinggi. Perlu ditekankan, keberadaan sasaran dalam sektor tertentu harus dibedakan dari daftar korban yang telah terkonfirmasi.
Dalam penelitian lanjutan, Cisco Talos melaporkan hubungan infrastruktur yang cukup besar antara operasi UAT-11473 dan infrastruktur covert access yang dikenal sebagai Silent Train. Sistem perantara komunikasi itu dikenal dalam analisis operasi Volt Typhoon. Walaupun terdapat kesamaan infrastruktur, Cisco Talos belum memastikan kedua kelompok memiliki identitas yang sama. Batasan atribusi ini merupakan bagian dari analisis ancaman yang bertanggung jawab. Pada kegiatan threat intelligence, penggunaan infrastruktur serupa memerlukan dukungan bukti tambahan sebelum atribusi dipastikan.
Langkah Melindungi Jaringan Perusahaan dari Malware KeyDrift
Cisco menyarankan organisasi untuk memprioritaskan perbaikan terhadap CVE-2026-20127. Langkah patching ini penting untuk menutup jalur eksploitasi. Di samping menutup kerentanan, perusahaan perlu memeriksa tanda aktivitas pascakompromi. Aktivitas investigasi ini meliputi evaluasi perubahan layanan sistem. Apabila ditemukan tanda penyusupan, organisasi perlu melibatkan tim keamanan yang berwenang. Proses respons yang terstruktur membantu membatasi dampak serangan.
Selain pemeriksaan internal, administrator perlu menerapkan konfigurasi pengamanan resmi. Proses hardening ini membantu membatasi jalur akses yang tidak diperlukan. Sebagai dukungan deteksi, Cisco menerbitkan aturan Snort yang berkaitan dengan aktivitas KeyDrift. Kemampuan deteksi ini dapat digunakan sebagai bagian dari pemantauan jaringan. Meski deteksi berbasis aturan bermanfaat, tidak adanya peringatan tidak menghilangkan kebutuhan pemeriksaan lain. Organisasi juga dapat menilai kebutuhan rotasi material kunci berdasarkan rekomendasi penanganan dari tim keamanan terkait. Jika ditemukan tanda serangan yang sulit ditangani, administrator bisa meminta bantuan melalui layanan Cisco TAC.
Penelitian Cisco Menegaskan Pentingnya Pengamanan Sistem SD-WAN
Hasil investigasi Cisco terhadap kerangka malware KeyDrift menunjukkan pentingnya perlindungan komponen inti infrastruktur digital. Dengan memanfaatkan celah autentikasi kritis, kelompok UAT-11473 teridentifikasi melakukan operasi terhadap infrastruktur SD-WAN. Arsitektur malware dengan kemampuan kendali dan pengumpulan informasi menunjukkan risiko terhadap material enkripsi. Dengan mempertimbangkan ancaman tersebut, organisasi tidak cukup hanya memasang patch. Temuan terbaru dalam analisis ancaman digital menegaskan kebutuhan melindungi proses pengelolaan kunci. Dari sudut pandang Anda, apakah perusahaan sudah cukup siap menghadapi malware yang menargetkan kunci enkripsi? Bagikan pandangan Anda mengenai pentingnya keamanan jaringan perusahaan.
