Cisco Talos pada 28 Oktober menerbitkan analisis tentang KeyDrift, kerangka malware yang ditanam kelompok bernama UAT-11473 di pengendali Cisco Catalyst SD-WAN. Pintu masuknya adalah CVE-2026-20127, celah bypass autentikasi berskor CVSS 10,0 yang memungkinkan penyerang jarak jauh masuk sebagai pengguna internal berhak istimewa tanpa kata sandi.
Apa yang dilakukan KeyDrift
Menurut Talos, KeyDrift bersembunyi di proses vdaemon pada sistem kendali SD-WAN. Salah satu modulnya, PolyFlame, berjalan di memori dan berfungsi sebagai pintu belakang yang menjalankan perintah, membaca dan menulis berkas, serta meneruskan instruksi ke mesin lain. Modul lain, LittleFilch, membaca pesan kontrol yang sudah didekripsi dan mengumpulkan data yang dinilai Talos sebagai bahan kunci untuk IPsec, lalu menyimpannya dalam bentuk terenkripsi. Talos menyebut sasaran yang teramati ada di sektor layanan antariksa dan satelit, teknologi pertahanan dan kedirgantaraan, serta lembaga kajian kebijakan. Talos tidak menyebut nama korban.
Talos menilai dengan keyakinan tinggi bahwa infrastruktur UAT-11473 banyak beririsan dengan Silent Train, jaringan akses tersembunyi yang dikaitkan dengan Volt Typhoon. Jaringan itu sudah kami bahas di laporan Lumen tentang Silent Train. Judul riset Talos menyebut aktivitas ini historis, tetapi laporan tidak menjelaskan kapan intrusi terjadi atau apakah kunci yang dikumpulkan benar-benar dikirim keluar.
Versi perbaikan dan mitigasi
Cisco sudah merilis tambalan untuk CVE-2026-20127. Situs Cybersecurity News, yang merangkum riset Talos, menyebut rilis pertama yang berisi perbaikan adalah 20.9.8.2, 20.12.6.1, 20.15.4.2, dan 20.18.2.1 sesuai jalur rilis, sedangkan versi di bawah 20.9 harus pindah ke rilis yang masih didukung. Cybersecurity News juga menyebut CVE-2026-20182, celah lain di layanan vdaemon yang ikut dieksploitasi. Laporan Talos sendiri tidak membahas CVE kedua itu, jadi periksa advisori Cisco untuk rincian versinya.
Pengelola jaringan perlu memastikan setiap Controller, Manager, dan Validator sudah memakai build yang diperbaiki, lalu mengikuti panduan pengerasan Catalyst SD-WAN dari Cisco. Talos menyediakan aturan deteksi Snort (SID 65938 dan 65958 untuk eksploitasi, serta rentang SID lain untuk artefak malware) dan daftar berkas serta perubahan layanan yang patut diperiksa. Bila ada tanda kompromi, jalankan prosedur respons insiden dan hubungi Cisco TAC. Cybersecurity News menambahkan bahwa sebelum penambalan, akses port 22 dan 830 bisa dibatasi ke alamat pengendali yang dikenal. Langkah itu tidak membersihkan infeksi yang sudah ada.
Dampak bagi pembaca
Operator yang memakai Cisco SD-WAN, termasuk penyedia layanan dan perusahaan dengan banyak cabang di Indonesia, sebaiknya memeriksa versi pengendali hari ini. Karena target KeyDrift adalah kunci lalu lintas terenkripsi, menambal saja belum cukup bagi organisasi yang pernah terpapar: periksa juga log autentikasi dan berkas yang ditunjuk Talos untuk memastikan tidak ada jejak lama.
Sumber: Cisco Talos dan Cybersecurity News. Gambar: Cisco Talos.