Cisco Talos mengungkap keberadaan malware berbahaya bernama KeyDrift yang dirancang untuk mencuri material kunci enkripsi pada infrastruktur jaringan perusahaan. Temuan yang diumumkan pada 28 Oktober 2026 ini berkaitan dengan aktivitas kelompok ancaman UAT-11473 yang mengeksploitasi kerentanan kritis pada Cisco Catalyst SD-WAN. Malware tersebut dapat beroperasi di dalam proses pengendali jaringan, mempertahankan akses tersembunyi, dan mengumpulkan informasi sensitif terkait komunikasi antarperangkat. Perkembangan ini menjadi perhatian penting dalam industri TEKNOLOGI keamanan siber karena menunjukkan bahwa perlindungan jaringan tidak cukup hanya mengandalkan enkripsi. Perusahaan juga perlu memastikan perangkat pengelola jaringan terlindungi dari akses tidak sah.
Mengenal Ancaman KeyDrift terhadap Keamanan Jaringan Perusahaan
Para peneliti ancaman digital Cisco mengungkap KeyDrift sebagai sistem malware dengan beberapa komponen untuk infiltrasi jaringan perusahaan. Ancaman tersebut berkaitan dengan kelompok UAT-11473. Kelompok tersebut terindikasi menggunakan celah keamanan pada sistem login untuk memperoleh akses tidak sah. Ketika perangkat telah dikompromikan, penyerang mengaktifkan mekanisme akses tersembunyi yang dirancang beroperasi dalam jangka panjang. Penelitian keamanan tersebut memperlihatkan risiko serangan pada infrastruktur inti.
Dibandingkan dengan perangkat lunak berbahaya pada endpoint biasa, KeyDrift dirancang menyusup ke sistem pengelolaan SD-WAN. Pemilihan komponen jaringan ini menciptakan risiko terhadap lalu lintas perusahaan. Dalam jaringan SD-WAN, pengendali membantu mendistribusikan informasi konektivitas. Ketika sistem pengendali berhasil dikompromikan, informasi yang melewati proses pengelolaan jaringan memerlukan perlindungan tambahan. Dengan mempertimbangkan risiko ini, pengamanan pengendali SD-WAN perlu diperhatikan oleh administrator.
Celah Autentikasi Cisco SD-WAN Dimanfaatkan Kelompok UAT-11473
Operasi kelompok UAT-11473 berkaitan dengan eksploitasi celah CVE-2026-20127. Kerentanan tersebut merupakan kelemahan authentication bypass. Dalam kondisi rentan, penyerang jarak jauh berpotensi memperoleh akses dengan hak istimewa. Celah tersebut dikategorikan sangat kritis dengan skor CVSS 10,0. Tingkat keparahan itu menegaskan pentingnya pemasangan pembaruan. Perlu dipahami, keberadaan kerentanan tidak berarti seluruh perangkat otomatis terinfeksi.
Cisco telah mengungkap kerentanan tersebut pada Februari 2026. Sebagai langkah penanganan, Cisco menerbitkan perbaikan perangkat lunak yang diperlukan. Namun demikian, perangkat yang tidak mendapatkan penanganan sesuai rekomendasi tetap berpotensi menjadi sasaran. Di samping proses patching, organisasi sebaiknya melakukan investigasi terhadap akses tidak sah. Pemeriksaan tersebut diperlukan sebab pemasangan patch belum tentu membersihkan seluruh komponen berbahaya. Dengan demikian, penanganan celah keamanan harus disertai evaluasi kondisi perangkat.
PolyFlame dan LittleFilch Menjadi Komponen Penting KeyDrift
Berdasarkan analisis Cisco Talos, KeyDrift memiliki arsitektur yang terdiri atas sejumlah modul. Modul penting dalam kerangka malware tersebut adalah PolyFlame yang dapat disisipkan ke proses pengelolaan jaringan. Perangkat lunak berbahaya ini dapat mempertahankan jalur kendali tidak sah. Melalui kemampuan tersebut, penyerang dapat mengendalikan fungsi tertentu pada perangkat. PolyFlame juga berfungsi sebagai penghubung infrastruktur command-and-control. Kemampuan operasional ini membuat deteksi menjadi lebih menantang.
Modul tambahan dalam KeyDrift adalah LittleFilch yang berfokus pada pengumpulan material kunci. Komponen pengumpulan informasi ini memanfaatkan akses ke lingkungan pengolahan lalu lintas kontrol. Dengan berada pada posisi tersebut, malware mampu mengakses data sensitif pada tahap pemrosesan internal. Berdasarkan evaluasi teknis yang dilakukan, salah satu informasi yang diambil berisi data yang diperkirakan digunakan untuk enkripsi AES-256. Informasi tersebut memiliki peran penting dalam perlindungan komunikasi. Namun demikian, keberhasilan pengiriman semua data kepada pelaku masih memiliki keterbatasan bukti dalam laporan penelitian.
Dampak Malware KeyDrift terhadap Keamanan Komunikasi SD-WAN
Ketika bisnis menghubungkan beberapa lokasi operasional, enkripsi berfungsi menjaga kerahasiaan komunikasi. Sistem kriptografi tersebut mengubah informasi menjadi bentuk yang tidak mudah dibaca. Namun demikian, keamanan komunikasi juga bergantung pada perlindungan kuncinya. Apabila kunci berhasil diperoleh penyerang, risiko terganggunya kerahasiaan data perlu dipertimbangkan. Kondisi tersebut menjelaskan mengapa KeyDrift mendapat perhatian khusus dari peneliti keamanan.
Dalam mekanisme SD-WAN tertentu, perangkat edge menggunakan sistem kontrol dalam pembentukan koneksi aman. Perangkat pengelola komunikasi tersebut berperan dalam koordinasi komunikasi terenkripsi. Saat perangkat lunak berbahaya mengakses lingkungan internal, ancaman tidak hanya berasal dari penyadapan jaringan luar. Karakteristik serangan tersebut menegaskan pentingnya pengamanan infrastruktur pengelola kunci. Sebagai bagian dari perlindungan tambahan, perusahaan harus mengawasi proses yang memiliki hak istimewa serta memeriksa kemungkinan kompromi.
Hubungan Infrastruktur Serangan KeyDrift dengan Jaringan Silent Train
Dalam hasil investigasinya, Cisco Talos mengidentifikasi penggunaan KeyDrift dengan kelompok ancaman UAT-11473. Dari hasil analisis terhadap sasaran serangan, kelompok tersebut memperlihatkan ketertarikan pada industri tertentu. Sektor yang diamati meliputi sektor layanan ruang angkasa, organisasi bidang pertahanan dan penerbangan, serta organisasi analisis kebijakan strategis. Pemilihan sasaran tersebut menjadi perhatian dalam analisis operasi ancaman berkelanjutan. Namun demikian, keberadaan sasaran dalam sektor tertentu harus dibedakan dari daftar korban yang telah terkonfirmasi.
Sebagai bagian dari analisis infrastruktur serangan, Cisco Talos menemukan kemiripan signifikan antara operasi UAT-11473 dan jaringan akses tersembunyi Silent Train. Jaringan tersembunyi ini dikenal dalam analisis operasi Volt Typhoon. Meski hubungan teknis tersebut menarik, Cisco Talos tidak menyatakan bahwa UAT-11473 merupakan Volt Typhoon. Kehati-hatian dalam menghubungkan kelompok membantu menghindari kesimpulan yang terlalu jauh. Dalam investigasi serangan digital, penggunaan infrastruktur serupa tidak selalu membuktikan kesamaan organisasi.
Cara Mengurangi Risiko Serangan terhadap Kunci Enkripsi Perusahaan
Tim keamanan Cisco merekomendasikan perusahaan untuk memastikan seluruh komponen terdampak menggunakan versi yang telah diperbaiki. Proses pembaruan tersebut membantu mengurangi peluang akses tanpa autentikasi. Di samping menutup kerentanan, perusahaan harus mencari indikasi akses sebelumnya. Pemeriksaan tersebut meliputi evaluasi perubahan layanan sistem. Ketika aktivitas tidak sah teridentifikasi, organisasi harus melakukan penanganan sesuai kebijakan keamanan perusahaan. Tindakan tersebut mendukung investigasi yang lebih menyeluruh.
Di samping evaluasi perangkat, administrator perlu menerapkan konfigurasi pengamanan resmi. Proses hardening ini membantu membatasi jalur akses yang tidak diperlukan. Untuk membantu pemantauan ancaman, tersedia aturan Snort yang berkaitan dengan aktivitas KeyDrift. Signature keamanan tersebut berpotensi membantu identifikasi aktivitas mencurigakan. Meski deteksi berbasis aturan bermanfaat, tidak adanya peringatan tidak menghilangkan kebutuhan pemeriksaan lain. Organisasi juga dapat memeriksa apakah informasi kriptografi perlu diperbarui berdasarkan hasil investigasi dan panduan resmi. Ketika investigasi memerlukan dukungan vendor, administrator sebaiknya membuka permintaan dukungan kepada Cisco TAC.
Ancaman Pencurian Kunci Enkripsi Membutuhkan Perlindungan Berlapis
Pengungkapan aktivitas KeyDrift pada Cisco SD-WAN memperlihatkan risiko serius terhadap sistem pengelolaan komunikasi. Melalui eksploitasi CVE-2026-20127, kelompok UAT-11473 teridentifikasi melakukan operasi terhadap infrastruktur SD-WAN. Komponen PolyFlame dan LittleFilch menegaskan perlunya pemantauan keamanan mendalam. Oleh sebab itu, organisasi harus menerapkan pengamanan serta pemantauan berkelanjutan. Perkembangan TEKNOLOGI keamanan siber ini mendorong perusahaan memperkuat tata kelola keamanan. Bagaimana pendapat Anda, apakah perusahaan sudah cukup siap menghadapi malware yang menargetkan kunci enkripsi? Sampaikan pendapat Anda mengenai langkah melindungi infrastruktur digital dari serangan berkelanjutan.
