Cisco Talos mengungkap keberadaan malware berbahaya bernama KeyDrift yang dirancang untuk mencuri material kunci enkripsi pada infrastruktur jaringan perusahaan. Temuan yang diumumkan pada 28 Oktober 2026 ini berkaitan dengan aktivitas kelompok ancaman UAT-11473 yang mengeksploitasi kerentanan kritis pada Cisco Catalyst SD-WAN. Malware tersebut dapat beroperasi di dalam proses pengendali jaringan, mempertahankan akses tersembunyi, dan mengumpulkan informasi sensitif terkait komunikasi antarperangkat. Perkembangan ini menjadi perhatian penting dalam industri TEKNOLOGI keamanan siber karena menunjukkan bahwa perlindungan jaringan tidak cukup hanya mengandalkan enkripsi. Perusahaan juga perlu memastikan perangkat pengelola jaringan terlindungi dari akses tidak sah.
Penelitian Cisco Mengungkap Serangan Siber yang Menargetkan Sistem Pengendali Jaringan
Cisco Talos mengidentifikasi KeyDrift sebagai perangkat lunak berbahaya yang dirancang menyerang pengendali jaringan. Ancaman tersebut berkaitan dengan kelompok UAT-11473. Pelaku serangan ini dilaporkan mengeksploitasi kerentanan autentikasi untuk memperoleh akses tidak sah. Setelah akses diperoleh, penyerang memasang komponen malware khusus yang dirancang beroperasi dalam jangka panjang. Penelitian keamanan tersebut menjadi peringatan bagi organisasi yang menggunakan sistem SD-WAN.
Dibandingkan dengan perangkat lunak berbahaya pada endpoint biasa, KeyDrift beroperasi pada bagian penting infrastruktur komunikasi. Sasaran tersebut berpotensi memengaruhi kerahasiaan komunikasi antarwilayah. Dalam jaringan SD-WAN, pengendali berperan mengatur hubungan antarperangkat. Jika penyerang memperoleh kendali terhadap infrastruktur tersebut, informasi yang mendukung pertukaran data antarperangkat dapat menjadi sasaran pencurian. Oleh sebab itu, pengamanan pengendali SD-WAN harus menjadi prioritas perusahaan.
Risiko Keamanan Cisco Catalyst SD-WAN akibat Authentication Bypass
Operasi kelompok UAT-11473 berkaitan dengan eksploitasi celah CVE-2026-20127. Celah keamanan ini memungkinkan terlewatinya pemeriksaan autentikasi. Ketika perangkat masih menggunakan versi terdampak, penyerang jarak jauh dapat melewati mekanisme login yang seharusnya membatasi akses. Kerentanan keamanan ini mendapat skor CVSS 10,0. Penilaian risiko tersebut menegaskan pentingnya pemasangan pembaruan. Sebagai batasan penting, keberadaan kerentanan perlu dibedakan dari bukti keberhasilan eksploitasi pada perangkat tertentu.
Informasi mengenai celah tersebut sudah dipublikasikan Cisco pada Februari 2026. Perusahaan juga menyediakan pembaruan keamanan bagi versi terdampak. Akan tetapi, perangkat yang masih menjalankan versi rentan tetap berpotensi menjadi sasaran. Selain pembaruan, organisasi sebaiknya melakukan investigasi terhadap akses tidak sah. Alasan utamanya adalah pemasangan patch tidak menjamin sistem sebelumnya tidak pernah dikompromikan. Dengan demikian, penanganan celah keamanan sebaiknya menjadi bagian dari proses respons insiden yang lebih menyeluruh.
Fungsi Backdoor dan Pengumpulan Kunci Enkripsi pada KeyDrift
Menurut pengamatan tim keamanan Cisco, KeyDrift memiliki arsitektur yang terdiri atas sejumlah modul. Salah satu komponen utamanya adalah PolyFlame yang dirancang berjalan bersama proses sistem yang sah. Perangkat lunak berbahaya ini mendukung akses tersembunyi bagi penyerang. Melalui kemampuan tersebut, penyerang dapat mengendalikan fungsi tertentu pada perangkat. Selain fungsi backdoor, modul ini dapat bertindak sebagai relay komunikasi. Kemampuan operasional ini meningkatkan kebutuhan pemantauan proses jaringan.
Komponen lain yang ditemukan adalah LittleFilch yang berfokus pada pengumpulan material kunci. Perangkat lunak LittleFilch beroperasi di dalam konteks layanan jaringan yang telah disusupi. Melalui akses terhadap proses kontrol, malware mampu mengakses data sensitif pada tahap pemrosesan internal. Cisco Talos menilai, salah satu informasi yang diambil diduga berkaitan dengan kunci enkripsi AES-256. Material kriptografi itu sangat sensitif bagi keamanan jaringan. Namun demikian, keberhasilan pengiriman semua data kepada pelaku belum dapat dipastikan.
Mengapa Material Kunci AES-256 Menjadi Sasaran Serangan Siber
Ketika bisnis menghubungkan beberapa lokasi operasional, enkripsi digunakan untuk mengamankan data selama transmisi. Sistem kriptografi tersebut mengubah informasi menjadi bentuk yang tidak mudah dibaca. Namun demikian, keamanan komunikasi memerlukan pengelolaan material rahasia yang tepat. Jika material enkripsi berhasil dicuri, risiko penyalahgunaan informasi jaringan menjadi lebih besar. Inilah sebabnya KeyDrift menunjukkan kelemahan yang dapat terjadi pada sistem pengelolaan jaringan.
Pada arsitektur komunikasi Cisco yang dianalisis, perangkat edge memanfaatkan controller untuk distribusi material enkripsi. Perangkat pengelola komunikasi tersebut berperan dalam koordinasi komunikasi terenkripsi. Ketika malware berada di dalam proses pengendali, ancaman tidak hanya berasal dari penyadapan jaringan luar. Kondisi ini menjelaskan mengapa enkripsi saja belum cukup. Organisasi juga perlu membatasi akses administratif serta memeriksa kemungkinan kompromi.
Hubungan Infrastruktur Serangan KeyDrift dengan Jaringan Silent Train
Peneliti keamanan Cisco menghubungkan penggunaan KeyDrift dengan aktor siber yang dilacak sebagai UAT-11473. Berdasarkan pengamatan peneliti, kelompok tersebut terlihat menargetkan beberapa sektor strategis. Sektor yang diamati meliputi industri komunikasi satelit dan antariksa, pertahanan dan teknologi kedirgantaraan, serta penelitian kebijakan. Karakteristik target ini menjadi perhatian dalam analisis operasi ancaman berkelanjutan. Namun demikian, keberadaan sasaran dalam sektor tertentu tidak berarti setiap organisasi pada bidang itu telah terinfeksi.
Sebagai bagian dari analisis infrastruktur serangan, Cisco Talos mengidentifikasi tumpang tindih yang kuat antara operasi UAT-11473 dan jaringan akses tersembunyi Silent Train. Infrastruktur tersebut dikenal dalam analisis operasi Volt Typhoon. Meski hubungan teknis tersebut menarik, Cisco Talos tidak mengonfirmasi bahwa pelaku KeyDrift dan Volt Typhoon adalah kelompok identik. Batasan atribusi ini penting untuk menjaga ketepatan informasi. Dalam keamanan siber, penggunaan infrastruktur serupa tidak selalu membuktikan kesamaan organisasi.
Cara Mengurangi Risiko Serangan terhadap Kunci Enkripsi Perusahaan
Dalam panduan penanganannya, Cisco mendorong administrator untuk memprioritaskan perbaikan terhadap CVE-2026-20127. Langkah patching ini bertujuan mencegah penyalahgunaan celah yang diketahui. Di samping menutup kerentanan, perusahaan perlu memeriksa tanda aktivitas pascakompromi. Aktivitas investigasi ini meliputi evaluasi perubahan layanan sistem. Apabila ditemukan tanda penyusupan, organisasi sebaiknya segera mengaktifkan prosedur respons insiden. Tindakan tersebut membantu membatasi dampak serangan.
Selain pemeriksaan internal, administrator perlu menerapkan konfigurasi pengamanan resmi. Penerapan konfigurasi yang lebih ketat membantu membatasi jalur akses yang tidak diperlukan. Untuk membantu pemantauan ancaman, tersedia aturan Snort yang membantu mendeteksi pola komunikasi berbahaya. Aturan tersebut berpotensi membantu identifikasi aktivitas mencurigakan. Meski deteksi berbasis aturan bermanfaat, tidak adanya peringatan belum membuktikan tidak terjadi kompromi. Dalam proses pemulihan, tim keamanan dapat menilai kebutuhan rotasi material kunci berdasarkan rekomendasi penanganan dari tim keamanan terkait. Apabila membutuhkan bantuan teknis, administrator dapat menghubungi Cisco Technical Assistance Center.
Penelitian Cisco Menegaskan Pentingnya Pengamanan Sistem SD-WAN
Hasil investigasi Cisco terhadap kerangka malware KeyDrift menjadi peringatan penting bagi keamanan jaringan perusahaan. Melalui eksploitasi CVE-2026-20127, kelompok UAT-11473 dilaporkan memperoleh akses tidak sah. Kombinasi modul backdoor serta pengumpul kunci memperlihatkan sifat ancaman yang kompleks. Oleh sebab itu, organisasi harus menerapkan pengamanan serta pemantauan berkelanjutan. Perkembangan TEKNOLOGI keamanan siber ini mendorong perusahaan memperkuat tata kelola keamanan. Dari sudut pandang Anda, apakah ancaman seperti KeyDrift akan mendorong peningkatan investasi keamanan siber? Bagikan pandangan Anda mengenai pentingnya keamanan jaringan perusahaan.
