Hacker Eksploitasi Celah Cisco SD-WAN untuk Sebarkan Malware KeyDrift, Incar Kunci Enkripsi Jaringan
Peneliti keamanan Cisco Talos mengungkap aktivitas kelompok Advanced Persistent Threat (APT) bernama UAT-11473 yang mengeksploitasi kerentanan kritis pada Cisco Catalyst SD-WAN untuk menyebarkan malware khusus bernama KeyDrift.
Serangan tersebut memanfaatkan celah CVE-2026-20127 dengan skor CVSS 10.0, yang memungkinkan penyerang melewati mekanisme autentikasi dan memperoleh akses administratif terhadap perangkat Cisco SD-WAN yang rentan.
Menurut laporan Cisco Talos pada 28 Oktober 2026, KeyDrift dirancang untuk mempertahankan akses tersembunyi dalam jangka panjang sekaligus mencuri informasi kriptografi yang digunakan untuk mengamankan komunikasi jaringan.
Target serangan mencakup perusahaan layanan satelit, organisasi pertahanan dan teknologi dirgantara, serta lembaga penelitian kebijakan.
Cisco Talos juga menemukan indikasi hubungan infrastruktur antara kelompok UAT-11473 dan jaringan tersembunyi Silent Train yang sebelumnya dikaitkan dengan kelompok peretas Volt Typhoon.
Namun, peneliti belum memastikan bahwa kedua kelompok tersebut merupakan aktor yang sama.
Celah CVE-2026-20127 Memungkinkan Pengambilalihan Cisco SD-WAN
CVE-2026-20127 merupakan kerentanan kritis pada mekanisme autentikasi peering yang digunakan Cisco Catalyst SD-WAN.
Produk yang terdampak mencakup Cisco Catalyst SD-WAN Controller, Manager, dan Validator, yang sebelumnya dikenal sebagai vSmart, vManage, dan vBond.
Komponen tersebut memiliki peran penting dalam pengelolaan dan pengamanan konektivitas Software-Defined Wide Area Network (SD-WAN).
Dalam lingkungan perusahaan, SD-WAN digunakan untuk menghubungkan berbagai kantor, data center, serta layanan cloud melalui jaringan yang dikelola secara terpusat.
Menurut Cisco, kerentanan tersebut memungkinkan penyerang tanpa autentikasi memperoleh hak akses administratif melalui mekanisme peering yang tidak berjalan sebagaimana mestinya.
Penyerang juga berpotensi menambahkan perangkat peer tidak sah ke dalam lingkungan SD-WAN.
Kerentanan ini memiliki skor CVSS 10.0, tingkat keparahan tertinggi dalam sistem penilaian keamanan.
Cisco telah menyediakan pembaruan keamanan sejak Februari 2026. Namun, penelitian terbaru memperlihatkan bahwa kerentanan tersebut sebelumnya telah dimanfaatkan untuk menyusup ke sistem dan mempertahankan akses tersembunyi.
Malware KeyDrift Dirancang untuk Mencuri Kunci Enkripsi
Setelah berhasil memperoleh akses ke lingkungan Cisco SD-WAN, kelompok UAT-11473 memasang framework malware bernama KeyDrift.
Berbeda dari malware yang berfokus pada pencurian dokumen atau password pengguna, KeyDrift dirancang khusus untuk beroperasi di dalam komponen pengendali jaringan SD-WAN.
Malware tersebut mampu memantau komunikasi control plane, yaitu mekanisme yang digunakan perangkat jaringan untuk bertukar informasi konfigurasi, routing, dan pengelolaan koneksi.
Menurut Cisco Talos, KeyDrift dapat mencegat traffic control plane yang telah didekripsi, mengumpulkan metadata sesi komunikasi, serta mengekstraksi informasi kunci enkripsi data plane.
Kemampuan tersebut berbahaya karena sistem SD-WAN mengandalkan informasi kriptografi untuk melindungi komunikasi antarperangkat jaringan.
Jika informasi tersebut berhasil dicuri, penyerang berpotensi memperoleh keuntungan teknis untuk melakukan aktivitas lanjutan terhadap infrastruktur yang terdampak.
Cisco Talos menilai dengan tingkat keyakinan tinggi bahwa KeyDrift dikembangkan untuk mempertahankan akses jangka panjang dan melakukan pencurian material kriptografi secara otomatis.
Framework ini terdiri dari dua komponen utama, yaitu PolyFlame dan LittleFilch.
PolyFlame Menyembunyikan Malware dalam Proses Cisco yang Sah
PolyFlame merupakan komponen utama KeyDrift yang digunakan untuk mempertahankan akses dan menjalankan perintah dari penyerang.
Modul tersebut disisipkan ke dalam proses vdaemon, layanan sah yang digunakan dalam infrastruktur Cisco SD-WAN.
Dengan beroperasi di dalam proses yang sudah dipercaya sistem, malware dapat mengakses informasi internal tanpa harus selalu menjalankan proses mencurigakan secara terpisah.
PolyFlame juga menggunakan script startup layanan yang telah dimodifikasi agar dapat dijalankan kembali ketika sistem melakukan restart.
Menurut Cisco Talos, modul ini memiliki sejumlah kemampuan, termasuk menjalankan perintah melalui backdoor bergaya TinyShell, mengunggah dan mengunduh file, serta meneruskan komunikasi antara server command-and-control (C2) dan perangkat lain.
Peneliti juga menemukan varian PolyFlame yang menyamar sebagai layanan aaamgrd.
Varian tersebut menggunakan teknik anti-debugging untuk mempersulit analisis keamanan.
Selain itu, malware memanfaatkan metode penyamaran terhadap proses dan library untuk mengurangi kemungkinan terdeteksi.
Temuan ini menunjukkan bahwa KeyDrift bukan sekadar malware sederhana, melainkan framework yang dikembangkan khusus untuk lingkungan Cisco SD-WAN.
LittleFilch Mencegat Komunikasi dan Mengambil Kunci AES-256
Komponen kedua, LittleFilch, memiliki fungsi utama mengumpulkan informasi sensitif dari sesi komunikasi SD-WAN.
Modul tersebut bekerja dengan melakukan hooking terhadap fungsi SSL_read di dalam proses vdaemon.
Melalui teknik ini, LittleFilch dapat memeriksa informasi control plane setelah data didekripsi oleh proses yang sah.
Menurut Cisco Talos, malware tersebut mencari informasi dari perangkat edge tertentu yang sebelumnya telah ditentukan oleh penyerang.
Informasi yang dikumpulkan mencakup alamat IP perangkat, identitas peer, serta data sepanjang 32 byte yang dinilai sebagai material kunci AES-256 IPsec untuk komunikasi data plane.
Setelah dikumpulkan, informasi tersebut dienkripsi menggunakan RSA sebelum disimpan dalam file lokal bernama:
/var/tmp/vdaemon.bin
Data kemudian dapat dikirimkan kepada infrastruktur penyerang menggunakan komunikasi UDP.
Penggunaan enkripsi pada data hasil pencurian menunjukkan bahwa operator KeyDrift juga berupaya melindungi informasi yang mereka kumpulkan dari pemeriksaan pihak lain.
Namun, Cisco Talos tidak menyatakan bahwa seluruh komunikasi terenkripsi pada jaringan korban telah berhasil dibaca oleh penyerang.
Temuan yang telah dikonfirmasi adalah kemampuan malware mengambil material kriptografi tertentu dari proses pengendali SD-WAN.
UAT-11473 Diduga Memiliki Hubungan dengan Volt Typhoon
Salah satu aspek menarik dari investigasi Cisco Talos adalah kemungkinan hubungan antara UAT-11473 dan kelompok peretas Volt Typhoon.
Volt Typhoon merupakan kelompok ancaman yang dikaitkan dengan operasi spionase siber terhadap infrastruktur penting Amerika Serikat.
Sebelumnya, Black Lotus Labs milik Lumen Technologies mengungkap framework Silent Train, jaringan relay tersembunyi yang digunakan Volt Typhoon untuk melancarkan serangan dan menyamarkan sumber aktivitasnya.
Framework tersebut memanfaatkan perangkat router dan sistem jaringan yang telah dikompromikan sebagai perantara komunikasi.
Dalam investigasi KeyDrift, Cisco Talos menemukan kesamaan infrastruktur operasional yang digunakan UAT-11473 dengan jaringan Silent Train.
Temuan tersebut memperkuat dugaan adanya keterkaitan antara operasi keduanya.
Namun, Cisco Talos belum dapat memastikan apakah UAT-11473 merupakan bagian dari Volt Typhoon, kelompok yang bekerja sama, atau aktor berbeda yang menggunakan infrastruktur serupa.
Karena itu, keterkaitan tersebut masih merupakan hasil analisis intelijen dan belum menjadi atribusi definitif.
Organisasi Pertahanan dan Layanan Satelit Jadi Target
Cisco Talos mengamati bahwa UAT-11473 memusatkan serangannya pada organisasi bernilai strategis tinggi.
Target yang teridentifikasi meliputi sektor layanan luar angkasa dan satelit, teknologi pertahanan dan dirgantara, serta lembaga penelitian kebijakan.
Pemilihan target tersebut menunjukkan bahwa operasi KeyDrift kemungkinan lebih berorientasi pada pengumpulan informasi dan mempertahankan akses strategis dibandingkan keuntungan finansial langsung.
Dalam lingkungan seperti ini, sistem SD-WAN dapat memiliki konektivitas menuju berbagai jaringan penting, termasuk pusat data dan lokasi operasional yang tersebar secara geografis.
Jika komponen manajemen SD-WAN dikompromikan, dampaknya berpotensi meluas karena perangkat tersebut memiliki hubungan kepercayaan dengan banyak bagian infrastruktur.
Peneliti juga menemukan sejumlah variasi PolyFlame dan LittleFilch yang menunjukkan bahwa malware tersebut masih mengalami pengembangan.
Perubahan yang diamati mencakup mekanisme anti-debugging tambahan dan teknik penyamaran proses yang berbeda.
Cisco Sarankan Patch dan Pemeriksaan Indikator Kompromi
Cisco telah menyediakan pembaruan keamanan untuk CVE-2026-20127 dan meminta seluruh organisasi yang menggunakan Catalyst SD-WAN segera menerapkan versi software yang telah diperbaiki.
Selain memasang patch, Cisco Talos merekomendasikan pemeriksaan terhadap kemungkinan kompromi pada sistem SD-WAN.
Administrator perlu memperhatikan perubahan tidak sah pada konfigurasi layanan, keberadaan file mencurigakan, serta aktivitas administratif yang tidak dikenal.
Cisco juga menyediakan indikator kompromi dan aturan deteksi Snort untuk membantu mengidentifikasi aktivitas yang berkaitan dengan KeyDrift.
Organisasi disarankan mengikuti panduan penguatan keamanan atau hardening resmi Cisco Catalyst SD-WAN.
Jika ditemukan indikasi serangan, administrator sebaiknya menjalankan prosedur incident response dan menghubungi Cisco Technical Assistance Center (TAC) untuk memperoleh dukungan investigasi.
Pembaruan software tetap menjadi langkah utama, tetapi perangkat yang sebelumnya telah dikompromikan mungkin membutuhkan pemeriksaan tambahan untuk memastikan malware tidak lagi aktif.
KeyDrift Tunjukkan Ancaman terhadap Infrastruktur SD-WAN
Penemuan KeyDrift memperlihatkan semakin kompleksnya serangan terhadap perangkat manajemen jaringan perusahaan.
Kelompok UAT-11473 tidak hanya memanfaatkan CVE-2026-20127 untuk memperoleh akses awal, tetapi juga memasang framework khusus yang mampu beroperasi di dalam proses pengendali Cisco SD-WAN.
Kemampuan mencegat traffic control plane dan mengambil material kunci enkripsi menjadi perhatian serius karena informasi tersebut merupakan bagian penting dari keamanan komunikasi jaringan.
Dugaan hubungan dengan infrastruktur Silent Train juga menunjukkan bahwa operasi ini mungkin berkaitan dengan kampanye spionase siber yang lebih luas.
Bagi organisasi yang menggunakan Cisco Catalyst SD-WAN, temuan tersebut menegaskan pentingnya penerapan patch, pembatasan akses antarmuka manajemen, serta pemantauan aktivitas jaringan secara berkelanjutan.
Kerentanan pada sistem manajemen terpusat dapat memberikan keuntungan besar kepada penyerang karena satu titik kompromi berpotensi membuka akses terhadap banyak perangkat dan koneksi jaringan penting.
Sumber: Cisco Talos — Inside KeyDrift: Analyzing Historical UAT-11473 Activity on Cisco SD-WAN
