Malware KeyDrift Bidik Cisco SD-WAN, Infrastrukturnya Tumpang Tindih dengan Volt Typhoon

Tambalan untuk celahnya sudah ada sejak Februari, tetapi laporan terbaru justru memunculkan pertanyaan lain: apa yang terjadi pada perangkat yang sudah telanjur disusupi sebelum diperbarui?

Peneliti Cisco Talos menerbitkan analisis malware bernama KeyDrift pada Rabu (28/10/2026). Menurut laporan Talos tentang kelompok UAT-11473, malware itu dirancang untuk bertahan lama di pengendali Cisco Catalyst SD-WAN dan mengambil material kunci enkripsi secara otomatis. Pintu masuknya adalah CVE-2026-20127, celah pelewatan autentikasi yang memungkinkan penyerang jarak jauh tanpa kredensial memperoleh hak akses administrator.

Celah Berskor CVSS 10,0 yang Sudah Dikenal Sejak Februari

The Hacker News melaporkan pada Kamis (29/10/2026) bahwa CVE-2026-20127 bernilai CVSS 10,0, skor tertinggi dalam skala tersebut. Cisco mengungkap celah ini pada Februari 2026 dan, menurut laporan itu, tidak ada solusi sementara selain memasang versi yang sudah diperbaiki. Lembaga keamanan siber Amerika Serikat, CISA, mengeluarkan arahan darurat bertanggal 25 Februari untuk lembaga sipil federal.

Nomor versi perbaikannya bergantung pada jalur rilis: 20.9.8.2 untuk seri 20.9, 20.12.6.1 atau 20.12.5.3 untuk seri 20.12, 20.15.4.2 untuk seri 20.13 sampai 20.15, serta 20.18.2.1 untuk seri 20.16 dan 20.18. Cisco menyatakan pihaknya mengetahui adanya "limited exploitation", eksploitasi terbatas. Seri 20.11, 20.13, 20.14, dan 20.16 sudah melewati masa pemeliharaan perangkat lunak, sehingga pengguna di jalur itu perlu pindah ke seri yang masih didukung.

KeyDrift: Mengintip Lalu Lintas Kontrol yang Sudah Didekripsi

Talos menggambarkan KeyDrift sebagai kerangka malware yang berjalan di dalam proses bidang kontrol SD-WAN. Ia dapat mencegat lalu lintas kontrol yang sudah didekripsi, mengambil metadata sesi dan kunci bidang data, lalu menyimpannya dalam bentuk terenkripsi. Dua komponen utamanya adalah PolyFlame dan LittleFilch.

PolyFlame bersemayam di memori dan disuntikkan ke proses vdaemon. Modul ini menyediakan pintu belakang bergaya TinyShell untuk menjalankan perintah serta membaca dan menulis berkas, sekaligus meneruskan lalu lintas ke simpul lain. Perintahnya dikunci dengan pemeriksaan MD5 berbasis tanggal dan kode administratif. Talos tidak menemukan alamat IP, port, atau domain yang tertanam di dalamnya.

LittleFilch bekerja lebih sempit. Ia membajak fungsi SSL_read di vdaemon untuk membaca data kontrol yang sudah terbuka, lalu mengambil IP publik, IP sistem peer, dan 32 byte material yang dinilai sebagai kunci AES-256 untuk IPsec. Hasilnya disimpan dengan enkripsi RSA di berkas /var/tmp/vdaemon.bin. Berkas konfigurasinya dihapus setelah dibaca, dan Talos belum berhasil memulihkannya.

Sasaran: Antariksa, Pertahanan, dan Riset Kebijakan

Target yang teramati mencakup layanan antariksa dan satelit, teknologi pertahanan dan kedirgantaraan, serta lembaga riset kebijakan. Talos menilai dengan keyakinan tinggi bahwa infrastruktur UAT-11473 "overlaps considerably", tumpang tindih secara substansial, dengan Silent Train, jaringan perangkat yang dibobol di kantor kecil, rumah, dan perangkat IoT.

Nama Silent Train berasal dari laporan Lumen Black Lotus Labs yang terbit pada hari yang sama. Lumen menyebut kelompok Volt Typhoon memakai jaringan itu untuk menyamarkan aktivitasnya. Talos menegaskan tidak mengklaim kedua kelompok itu sama. Volt Typhoon sendiri pada 2024 disebut CISA, NSA, dan FBI sebagai kelompok siber yang disponsori negara Tiongkok. Lumen juga melaporkan Volt Typhoon sudah mengeksploitasi celah yang sama sejak akhir 2025, tetapi tidak mengaitkannya dengan KeyDrift.

Membatasi Port Hanya Sementara dan Tak Membuang Malware

Sambil menunggu pembaruan, pembatasan akses ke port 22 dan 830 bisa dilakukan sebagai langkah sementara. Pemblokiran itu tidak membuang malware yang sudah terpasang. Panduan perbaikan Cisco bahkan memperingatkan adanya "existing exploits which are still in place", eksploitasi lama yang masih tertanam setelah peningkatan versi.

Talos menyarankan pengguna memasang tambalan, mengikuti panduan pengerasan Cisco untuk Catalyst SD-WAN, dan memantau aktivitas pascakompromi. Bila ada tanda penyusupan, tim disarankan menjalankan prosedur respons insiden dan menghubungi Cisco TAC. Kasus serupa pernah dibahas CompileDaily saat celah Cisco Secure Email Gateway dieksploitasi dan ketika peretas menguji celah kritis Oracle E-Business Suite.

Yang belum dijawab Cisco maupun Talos, menurut The Hacker News, adalah apakah peningkatan versi menghapus KeyDrift dari perangkat yang sudah terinfeksi, dan apakah kunci yang pernah dicuri harus diganti. Bagi administrator yang menunda pembaruan sejak Februari, dua pertanyaan itu kini lebih mendesak daripada nomor versinya.