Cisco Talos mengungkap keberadaan malware berbahaya bernama KeyDrift yang dirancang untuk mencuri material kunci enkripsi pada infrastruktur jaringan perusahaan. Temuan yang diumumkan pada 28 Oktober 2026 ini berkaitan dengan aktivitas kelompok ancaman UAT-11473 yang mengeksploitasi kerentanan kritis pada Cisco Catalyst SD-WAN. Malware tersebut dapat beroperasi di dalam proses pengendali jaringan, mempertahankan akses tersembunyi, dan mengumpulkan informasi sensitif terkait komunikasi antarperangkat. Perkembangan ini menjadi perhatian penting dalam industri TEKNOLOGI keamanan siber karena menunjukkan bahwa perlindungan jaringan tidak cukup hanya mengandalkan enkripsi. Perusahaan juga perlu memastikan perangkat pengelola jaringan terlindungi dari akses tidak sah.
Penelitian Cisco Mengungkap Serangan Siber yang Menargetkan Sistem Pengendali Jaringan
Tim keamanan siber Cisco Talos menemukan KeyDrift sebagai perangkat lunak berbahaya yang dirancang menyerang pengendali jaringan. Malware yang ditemukan diidentifikasi dalam operasi kelompok ancaman UAT-11473. Kelompok tersebut diketahui memanfaatkan kelemahan pemeriksaan identitas untuk mengambil alih kemampuan administratif tertentu. Sesudah sistem berhasil dimasuki, penyerang menjalankan perangkat lunak berbahaya yang mendukung pengendalian sistem secara berkelanjutan. Hasil analisis ini menjadi peringatan bagi organisasi yang menggunakan sistem SD-WAN.
Berbeda dari malware yang hanya menyerang komputer pengguna, KeyDrift menargetkan komponen pengendali jaringan. Pemilihan komponen jaringan ini berpotensi memengaruhi kerahasiaan komunikasi antarwilayah. Pada infrastruktur Software-Defined Wide Area Network, pengendali berperan mengatur hubungan antarperangkat. Ketika sistem pengendali berhasil dikompromikan, informasi yang mendukung pertukaran data antarperangkat dapat menjadi sasaran pencurian. Karena alasan tersebut, pengamanan pengendali SD-WAN perlu diperhatikan oleh administrator.
Celah Autentikasi Cisco SD-WAN Dimanfaatkan Kelompok UAT-11473
Operasi kelompok UAT-11473 berkaitan dengan eksploitasi celah CVE-2026-20127. Kerentanan tersebut berkaitan dengan kegagalan pembatasan akses berdasarkan identitas. Ketika perangkat masih menggunakan versi terdampak, penyerang jarak jauh dapat melewati mekanisme login yang seharusnya membatasi akses. Celah tersebut memiliki penilaian keparahan maksimum 10,0. Skor keamanan tersebut menunjukkan perlunya penanganan segera. Namun demikian, keberadaan kerentanan tidak berarti seluruh perangkat otomatis terinfeksi.
Cisco telah mengungkap kerentanan tersebut pada Februari 2026. Sebagai langkah penanganan, Cisco menerbitkan perbaikan perangkat lunak yang diperlukan. Namun demikian, perangkat yang masih menjalankan versi rentan tetap berpotensi menjadi sasaran. Di samping proses patching, organisasi harus mengevaluasi riwayat aktivitas mencurigakan. Alasan utamanya adalah pemasangan patch tidak otomatis menghapus malware yang sudah tertanam. Dengan demikian, penanganan celah keamanan harus disertai evaluasi kondisi perangkat.
Cara Malware KeyDrift Beroperasi dalam Sistem Cisco SD-WAN
Dari hasil pemeriksaan terhadap malware, KeyDrift mengandalkan perangkat lunak tambahan untuk menjalankan tugas tertentu. Salah satu komponen utamanya adalah PolyFlame yang dirancang berjalan bersama proses sistem yang sah. Komponen tersebut memiliki kemampuan backdoor. Berkat fungsi kendali jarak jauh, penyerang mampu menggunakan perangkat yang telah terinfeksi sebagai perantara komunikasi. Selain fungsi backdoor, modul ini dapat bertindak sebagai relay komunikasi. Kemampuan operasional ini membuat deteksi menjadi lebih menantang.
Bagian berikutnya dari kerangka malware adalah LittleFilch yang dirancang mengekstraksi informasi enkripsi. Komponen pengumpulan informasi ini beroperasi di dalam konteks layanan jaringan yang telah disusupi. Berkat keberadaannya di lingkungan pengendali, malware dapat mengamati informasi setelah didekripsi. Cisco Talos menilai, salah satu informasi yang diambil berisi data yang diperkirakan digunakan untuk enkripsi AES-256. Material kriptografi itu memerlukan penanganan dengan tingkat perlindungan tinggi. Meski fungsi malware sudah dianalisis, keberhasilan pengiriman semua data kepada pelaku masih memiliki keterbatasan bukti dalam laporan penelitian.
Dampak Malware KeyDrift terhadap Keamanan Komunikasi SD-WAN
Ketika bisnis menghubungkan beberapa lokasi operasional, enkripsi digunakan untuk mengamankan data selama transmisi. Sistem kriptografi tersebut mengubah informasi menjadi bentuk yang tidak mudah dibaca. Namun demikian, keamanan komunikasi juga bergantung pada perlindungan kuncinya. Jika material enkripsi berhasil dicuri, risiko terbukanya komunikasi tertentu dapat meningkat. Kondisi tersebut menjelaskan mengapa KeyDrift menunjukkan kelemahan yang dapat terjadi pada sistem pengelolaan jaringan.
Dalam mekanisme SD-WAN tertentu, perangkat edge menggunakan sistem kontrol dalam pembentukan koneksi aman. Pengendali tersebut menangani data yang diperlukan untuk koneksi antarlokasi. Saat perangkat lunak berbahaya mengakses lingkungan internal, ancaman berpotensi memanfaatkan informasi yang tersedia di dalam layanan sah. Situasi tersebut menegaskan pentingnya pengamanan infrastruktur pengelola kunci. Dalam strategi keamanan menyeluruh, tim TI sebaiknya melindungi sistem pengelolaan kunci serta mengevaluasi aktivitas yang menyimpang dari pola normal.
Aktivitas Ancaman terhadap Industri Strategis dan Infrastruktur Penting
Peneliti keamanan Cisco menghubungkan penggunaan KeyDrift dengan kelompok ancaman UAT-11473. Dari hasil analisis terhadap sasaran serangan, kelompok tersebut dilaporkan membidik organisasi dengan aktivitas sensitif. Sektor yang diamati meliputi industri komunikasi satelit dan antariksa, organisasi bidang pertahanan dan penerbangan, serta organisasi analisis kebijakan strategis. Karakteristik target ini menjadi perhatian dalam analisis operasi ancaman berkelanjutan. Sebagai batasan informasi, keberadaan sasaran dalam sektor tertentu tidak berarti setiap organisasi pada bidang itu telah terinfeksi.
Dalam penelitian lanjutan, Cisco Talos mengidentifikasi tumpang tindih yang kuat antara operasi UAT-11473 dan infrastruktur covert access yang dikenal sebagai Silent Train. Jaringan tersembunyi ini pernah dikaitkan dengan aktivitas Volt Typhoon. Namun demikian, Cisco Talos belum memastikan kedua kelompok memiliki identitas yang sama. Perbedaan tersebut merupakan bagian dari analisis ancaman yang bertanggung jawab. Dalam investigasi serangan digital, penggunaan infrastruktur serupa tidak selalu membuktikan kesamaan organisasi.
Cara Mengurangi Risiko Serangan terhadap Kunci Enkripsi Perusahaan
Dalam panduan penanganannya, Cisco mendorong administrator untuk segera memasang pembaruan keamanan yang tersedia. Pemasangan perbaikan keamanan bertujuan mencegah penyalahgunaan celah yang diketahui. Selain melakukan pembaruan, perusahaan sebaiknya menjalankan evaluasi terhadap kemungkinan infeksi. Penilaian kondisi perangkat membutuhkan analisis terhadap proses dan berkas mencurigakan. Apabila ditemukan tanda penyusupan, organisasi harus melakukan penanganan sesuai kebijakan keamanan perusahaan. Proses respons yang terstruktur mendukung investigasi yang lebih menyeluruh.
Sebagai langkah perlindungan tambahan, administrator perlu menerapkan konfigurasi pengamanan resmi. Penguatan keamanan tersebut mendukung pengendalian komponen jaringan yang sensitif. Untuk membantu pemantauan ancaman, tersedia aturan Snort yang ditujukan untuk mengenali indikator malware. Kemampuan deteksi ini mendukung sistem pencegahan intrusi yang sesuai. Namun demikian, tidak adanya peringatan belum membuktikan tidak terjadi kompromi. Organisasi juga dapat mengevaluasi penggantian kredensial dan kunci yang terdampak berdasarkan tingkat kompromi yang ditemukan. Apabila membutuhkan bantuan teknis, administrator sebaiknya membuka permintaan dukungan kepada Cisco TAC.
Penelitian Cisco Menegaskan Pentingnya Pengamanan Sistem SD-WAN
Penemuan malware KeyDrift oleh Cisco Talos menunjukkan pentingnya perlindungan komponen inti infrastruktur digital. Dengan memanfaatkan celah autentikasi kritis, kelompok UAT-11473 dilaporkan memperoleh akses tidak sah. Komponen PolyFlame dan LittleFilch menegaskan perlunya pemantauan keamanan mendalam. Oleh sebab itu, organisasi tidak cukup hanya memasang patch. Temuan terbaru dalam analisis ancaman digital mendorong perusahaan memperkuat tata kelola keamanan. Bagaimana pendapat Anda, apakah perusahaan sudah cukup siap menghadapi malware yang menargetkan kunci enkripsi? Sampaikan pendapat Anda mengenai pentingnya keamanan jaringan perusahaan.
