Cisco Ungkap Malware KeyDrift yang Membidik Kunci Enkripsi Jaringan Perusahaan

Cisco Talos mengungkap keberadaan malware berbahaya bernama KeyDrift yang dirancang untuk mencuri material kunci enkripsi pada infrastruktur jaringan perusahaan. Temuan yang diumumkan pada 28 Oktober 2026 ini berkaitan dengan aktivitas kelompok ancaman UAT-11473 yang mengeksploitasi kerentanan kritis pada Cisco Catalyst SD-WAN. Malware tersebut dapat beroperasi di dalam proses pengendali jaringan, mempertahankan akses tersembunyi, dan mengumpulkan informasi sensitif terkait komunikasi antarperangkat. Perkembangan ini menjadi perhatian penting dalam industri TEKNOLOGI keamanan siber karena menunjukkan bahwa perlindungan jaringan tidak cukup hanya mengandalkan enkripsi. Perusahaan juga perlu memastikan perangkat pengelola jaringan terlindungi dari akses tidak sah.

Cisco Talos Mengidentifikasi Malware KeyDrift pada Infrastruktur SD-WAN

Cisco Talos mengidentifikasi KeyDrift sebagai perangkat lunak berbahaya yang dirancang menyerang pengendali jaringan. Malware yang ditemukan dikaitkan dengan aktivitas pelaku yang dilacak sebagai UAT-11473. Aktor ancaman yang dianalisis terindikasi menggunakan celah keamanan pada sistem login untuk memperoleh akses tidak sah. Ketika perangkat telah dikompromikan, penyerang menjalankan perangkat lunak berbahaya yang dirancang beroperasi dalam jangka panjang. Temuan tersebut menjadi peringatan bagi organisasi yang menggunakan sistem SD-WAN.

Dibandingkan dengan perangkat lunak berbahaya pada endpoint biasa, KeyDrift beroperasi pada bagian penting infrastruktur komunikasi. Pendekatan serangan tersebut memiliki dampak keamanan yang berbeda. Ketika perusahaan menggunakan pengelolaan jaringan berbasis perangkat lunak, pengendali membantu mendistribusikan informasi konektivitas. Jika penyerang memperoleh kendali terhadap infrastruktur tersebut, informasi yang melewati proses pengelolaan jaringan dapat menjadi sasaran pencurian. Oleh sebab itu, pengamanan pengendali SD-WAN harus menjadi prioritas perusahaan.

Celah Autentikasi Cisco SD-WAN Dimanfaatkan Kelompok UAT-11473

Serangan yang dianalisis Cisco menggunakan kelemahan keamanan yang tercatat sebagai CVE-2026-20127. Masalah pada perangkat lunak tersebut berkaitan dengan kegagalan pembatasan akses berdasarkan identitas. Apabila sistem belum mendapatkan perbaikan, penyerang jarak jauh berpotensi memperoleh akses dengan hak istimewa. Masalah autentikasi tersebut mendapat skor CVSS 10,0. Skor keamanan tersebut menjadi alasan untuk memprioritaskan mitigasi. Sebagai batasan penting, keberadaan kerentanan tidak berarti seluruh perangkat otomatis terinfeksi.

Cisco telah mengungkap kerentanan tersebut pada Februari 2026. Perusahaan juga menyediakan rilis sistem yang mengatasi kelemahan tersebut. Meski perbaikan tersedia, perangkat yang belum diperbarui dapat menghadapi risiko eksploitasi. Sebagai langkah keamanan tambahan, organisasi perlu memeriksa kemungkinan kompromi sebelumnya. Alasan utamanya adalah pemasangan patch belum tentu membersihkan seluruh komponen berbahaya. Oleh karena itu, penanganan celah keamanan harus disertai evaluasi kondisi perangkat.

PolyFlame dan LittleFilch Menjadi Komponen Penting KeyDrift

Dari hasil pemeriksaan terhadap malware, KeyDrift mengandalkan perangkat lunak tambahan untuk menjalankan tugas tertentu. Salah satu komponen utamanya adalah PolyFlame yang dapat disisipkan ke proses pengelolaan jaringan. Modul PolyFlame mendukung akses tersembunyi bagi penyerang. Berkat fungsi kendali jarak jauh, penyerang mampu menggunakan perangkat yang telah terinfeksi sebagai perantara komunikasi. Selain fungsi backdoor, modul ini berfungsi sebagai penghubung infrastruktur command-and-control. Karakteristik tersebut meningkatkan kebutuhan pemantauan proses jaringan.

Bagian berikutnya dari kerangka malware adalah LittleFilch yang dirancang mengekstraksi informasi enkripsi. Perangkat lunak LittleFilch beroperasi di dalam konteks layanan jaringan yang telah disusupi. Melalui akses terhadap proses kontrol, malware berpotensi membaca bagian komunikasi yang sudah diproses. Berdasarkan evaluasi teknis yang dilakukan, salah satu informasi yang diambil berisi data yang diperkirakan digunakan untuk enkripsi AES-256. Informasi tersebut memerlukan penanganan dengan tingkat perlindungan tinggi. Namun demikian, keberhasilan pengiriman semua data kepada pelaku tidak sepenuhnya terkonfirmasi.

Pencurian Kunci Enkripsi Menimbulkan Risiko bagi Jaringan Perusahaan

Ketika bisnis menghubungkan beberapa lokasi operasional, enkripsi membantu melindungi pertukaran informasi. Mekanisme perlindungan ini membatasi kemampuan pihak tidak berwenang memahami lalu lintas. Walaupun algoritma kriptografi yang kuat digunakan, keamanan komunikasi memerlukan pengelolaan material rahasia yang tepat. Ketika informasi kriptografi jatuh ke pihak tidak berwenang, risiko terganggunya kerahasiaan data perlu dipertimbangkan. Hal tersebut menjadi alasan bahwa KeyDrift menjadi ancaman serius bagi organisasi.

Dalam mekanisme SD-WAN tertentu, perangkat edge dapat bertukar informasi kunci melalui pengendali. Pengendali tersebut menangani data yang diperlukan untuk koneksi antarlokasi. Apabila komponen kontrol telah disusupi, ancaman tidak hanya berasal dari penyadapan jaringan luar. Situasi tersebut membuktikan perlunya pendekatan keamanan berlapis. Dalam strategi keamanan menyeluruh, tim TI sebaiknya mengawasi proses yang memiliki hak istimewa serta memeriksa kemungkinan kompromi.

Aktivitas Ancaman terhadap Industri Strategis dan Infrastruktur Penting

Dalam hasil investigasinya, Cisco Talos mengidentifikasi penggunaan KeyDrift dengan aktor siber yang dilacak sebagai UAT-11473. Menurut laporan aktivitas ancaman, kelompok tersebut dilaporkan membidik organisasi dengan aktivitas sensitif. Bidang organisasi yang menjadi sasaran meliputi industri komunikasi satelit dan antariksa, industri pertahanan serta aerospace, serta lembaga kajian kebijakan. Pemilihan sasaran tersebut menjadi perhatian dalam analisis operasi ancaman berkelanjutan. Perlu ditekankan, keberadaan sasaran dalam sektor tertentu harus dibedakan dari daftar korban yang telah terkonfirmasi.

Dalam penelitian lanjutan, Cisco Talos mengidentifikasi tumpang tindih yang kuat antara operasi UAT-11473 dan jaringan akses tersembunyi Silent Train. Infrastruktur tersebut pernah dikaitkan dengan aktivitas Volt Typhoon. Namun demikian, Cisco Talos tidak menyatakan bahwa UAT-11473 merupakan Volt Typhoon. Perbedaan tersebut merupakan bagian dari analisis ancaman yang bertanggung jawab. Dalam keamanan siber, penggunaan infrastruktur serupa belum cukup untuk menetapkan identitas pelaku.

Langkah Melindungi Jaringan Perusahaan dari Malware KeyDrift

Cisco menyarankan organisasi untuk memprioritaskan perbaikan terhadap CVE-2026-20127. Langkah patching ini penting untuk menutup jalur eksploitasi. Selain melakukan pembaruan, perusahaan perlu memeriksa tanda aktivitas pascakompromi. Penilaian kondisi perangkat meliputi evaluasi perubahan layanan sistem. Ketika aktivitas tidak sah teridentifikasi, organisasi harus melakukan penanganan sesuai kebijakan keamanan perusahaan. Proses respons yang terstruktur mendukung investigasi yang lebih menyeluruh.

Selain pemeriksaan internal, administrator sebaiknya meninjau rekomendasi penguatan sistem dari Cisco. Proses hardening ini bertujuan mengurangi permukaan serangan. Cisco Talos juga menyediakan aturan Snort yang membantu mendeteksi pola komunikasi berbahaya. Signature keamanan tersebut dapat digunakan sebagai bagian dari pemantauan jaringan. Walaupun signature telah tersedia, tidak adanya peringatan bukan jaminan perangkat bebas infeksi. Organisasi juga dapat menilai kebutuhan rotasi material kunci berdasarkan tingkat kompromi yang ditemukan. Ketika investigasi memerlukan dukungan vendor, administrator sebaiknya membuka permintaan dukungan kepada Cisco TAC.

Penelitian Cisco Menegaskan Pentingnya Pengamanan Sistem SD-WAN

Pengungkapan aktivitas KeyDrift pada Cisco SD-WAN menunjukkan pentingnya perlindungan komponen inti infrastruktur digital. Dengan memanfaatkan celah autentikasi kritis, kelompok UAT-11473 teridentifikasi melakukan operasi terhadap infrastruktur SD-WAN. Arsitektur malware dengan kemampuan kendali dan pengumpulan informasi menunjukkan risiko terhadap material enkripsi. Karena itu, organisasi tidak cukup hanya memasang patch. Penelitian mengenai serangan terhadap sistem jaringan tersebut menegaskan kebutuhan melindungi proses pengelolaan kunci. Menurut Anda, apakah perlindungan perangkat pengendali jaringan perlu mendapat prioritas lebih tinggi? Bagikan pandangan Anda mengenai ancaman KeyDrift.