Sekelompok peretas telah mengeksploitasi celah keamanan kritis pada platform Cisco Catalyst SD-WAN, yang telah diperbaiki pada bulan Februari lalu, guna menanamkan perangkat lunak perusak (malware) khusus langsung ke dalam sistem yang mengendalikan jaringan SD-WAN suatu organisasi.
Malware canggih ini, yang diidentifikasi dengan sebutan KeyDrift, dirancang khusus untuk menyalin kunci-kunci rahasia yang mengenkripsi lalu lintas komunikasi antarsitus dan menyimpannya demi keperluan di masa mendatang, demikian pernyataan yang disampaikan oleh tim Cisco Talos pada tanggal 28 Oktober. Pihak Talos mengkategorikan insiden penyerangan tersebut sebagai peristiwa historis, namun mereka tidak merinci secara pasti kapan serangan itu terjadi maupun apakah ada kunci enkripsi yang telah berhasil dikirim keluar ke pihak penyerang.
Celah keamanan berbahaya ini didaftarkan dengan kode CVE-2026-20127 serta mengantongi skor keparahan maksimal CVSS 10.0. Kerentanan tersebut memungkinkan penyerang jarak jauh tanpa proses autentikasi untuk memotong mekanisme verifikasi resmi dan langsung mendapatkan hak akses administratif penuh pada sistem kendali ini. Di dalam komponen Controller, aktor ancaman dapat masuk memakai akun internal berhak akses istimewa tinggi yang bukan merupakan akun root.
Ketika pihak Cisco pertama kali mengungkap keberadaan kerentanan ini kepada publik pada bulan Februari, tim Talos melacak aktivitas eksploitasinya di bawah nama kelompok penyerang UAT-8616, sebuah klaster kejahatan siber yang menurut mereka rekam jejak aktivitasnya dapat ditarik kembali setidaknya sejak tahun 2023.
Di dalam mekanisme pertukaran kunci tradisional milik arsitektur Cisco, setiap perangkat router SD-WAN secara berkala membuat sebuah kunci AES tersendiri untuk mengamankan lalu lintas datanya, kemudian mengirimkan kunci tersebut langsung ke Catalyst SD-WAN Controller (yang sebelumnya dikenal dengan nama vSmart). Pihak Controller selanjutnya bertugas meneruskan seluruh kunci tersebut ke perangkat router lainnya. Suatu proses sistem khusus di Controller yang disebut vdaemon menjalankan seluruh koneksi kendali terenkripsi yang membawa muatan kunci-kunci ini.
Pada perangkat Controller yang telah berhasil disusupi, komponen inti KeyDrift yang bernama LittleFilch akan mengaitkan dirinya ke dalam proses vdaemon lalu membaca setiap pesan kendali seketika setelah pesan-pesan tersebut didekripsi. Untuk daftar router edge yang telah ditentukan sebelumnya oleh penyerang, komponen ini menyalin alamat IP mereka beserta sebuah bidang data berukuran 32 bita. Analisis dari Talos menilai bahwa bidang data 32 bita tersebut sebenarnya merupakan materi kunci AES-256 yang secara berkala disalurkan oleh Controller antarseluruh router.
Modul LittleFilch kemudian mengenkripsi seluruh informasi yang telah dikumpulkannya menggunakan algoritma RSA lalu menyimpannya rapi ke dalam suatu berkas lokal. Modul ini kemudian dapat mengirimkan berkas data hasil rampasan tersebut melalui protokol UDP langsung ke alamat tertentu yang tercantum di dalam berkas konfigurasi, yang mana berkas pengaturan itu segera dihapus dari sistem setelah selesai dibaca. Pihak Talos sendiri tidak berhasil memulihkan kembali berkas konfigurasi yang telah dihapus tersebut.
Kelompok peretas di balik pengembangan KeyDrift, yang dilacak secara resmi oleh tim analis Talos sebagai kelompok UAT-11473, diketahui secara konsisten menargetkan sektor layanan antariksa dan satelit, industri teknologi pertahanan dan kedirgantaraan, hingga berbagai lembaga riset kebijakan publik.
Infrastruktur operasional milik kelompok ini dilaporkan saling tumpang tindih secara signifikan dengan jaringan botnet Silent Train, sebuah kesimpulan yang diyakini oleh Talos dengan tingkat keyakinan yang sangat tinggi. Silent Train sendiri merupakan nama identifikasi yang digunakan oleh tim riset Black Lotus Labs milik perusahaan Lumen untuk merujuk pada jaringan luas dari perangkat kantor skala kecil, perangkat rumah tangga, perangkat IoT, dan sistem bisnis yang telah berhasil dibobol.
Lumen menyatakan bahwa aktor ancaman Volt Typhoon memanfaatkan jaringan perangkat bajakan tersebut untuk menyamarkan jejak aktivitas berbahaya mereka. Lembaga keamanan siber CISA, NSA, bersama FBI secara tegas menyatakan pada tahun 2024 bahwa kelompok Volt Typhoon merupakan operasi kejahatan siber yang disponsori langsung oleh negara Tiongkok.
Dalam analisisnya, Talos menghubungkan kelompok UAT-11473 dengan Volt Typhoon murni hanya berdasarkan tumpang tindih infrastruktur tersebut. Mereka tidak menyatakan bahwa kedua entitas tersebut adalah kelompok yang sama persis, serta tidak menjelaskan secara gamblang bagaimana kaitan antara UAT-11473 dengan klaster kejahatan UAT-8616 yang mereka laporkan pada bulan Februari lalu.
Secara terpisah, pihak Lumen juga menyatakan pada tanggal 28 Oktober bahwa kelompok Volt Typhoon telah terbukti aktif mengeksploitasi kerentanan CVE-2026-20127 sejak akhir tahun 2025 dan terus melancarkan aksi eksploitasi tersebut bahkan setelah Cisco secara terbuka mempublikasikan adanya celah itu pada bulan Februari. Kendati demikian, laporan Lumen tidak mengaitkan langsung aktivitas penyerangan tersebut dengan peredaran malware KeyDrift.
Berdasarkan penjelasan resmi Talos, malware KeyDrift utamanya memulai proses eksekusinya dengan memanfaatkan skrip lingkungan runit yang telah dimodifikasi, yang digunakan oleh perangkat Cisco SD-WAN untuk memulai layanan-layanan operasional mereka. Di salah satu varian yang ditemukan, skrip untuk menjalankan layanan SSH mengaktifkan skrip pemuat awal berlabel conf_sshd tepat sebelum server SSH yang asli dijalankan. Skrip conf_sshd ini mencatat identitas proses sistem vdaemon ke dalam sebuah berkas, dan sebuah modul alat bernama rsshd segera menyuntikkan komponen utama KeyDrift, yaitu PolyFlame, langsung ke dalam masing-masing proses sistem yang sedang berjalan tersebut.
Komponen PolyFlame berjalan langsung di dalam memori internal vdaemon. Modul ini mampu berfungsi selayaknya backdoor mirip TinyShell yang mengeksekusi beragam perintah terminal serta membaca dan menulis berkas sistem, atau bertindak sebagai simpul relai yang meneruskan perintah kendali antara server komando dengan mesin target lainnya. Modul berbahaya ini dirancang untuk menerima kiriman perintah tersembunyi di dalam lalu lintas kendali SD-WAN, dan seluruh sampel kode yang dianalisis terbukti sama sekali tidak memuat alamat server pengendali yang tertulis secara langsung.
Sementara itu pada unit Validator yang telah dikompromikan (perangkat yang sebelumnya menyandang nama vBond), layanan palsu berlabel aaamgr di bawah direktori /etc/sv/aaamgr/ mengeksekusi program pemuat terkompresi bernama aaamgrd, yang kemudian mendekripsi dan menjalankan PolyFlame. Komponen asli aaamgr besutan Cisco sejatinya hanyalah sebuah paket program berbasis bahasa Python murni dan biasanya tidak pernah berjalan dalam format layanan terkompilasi biner.
Penyelidik juga menemukan indikasi manipulasi stempel waktu sistem (timestomping), di mana rangkaian perintah yang dieksekusi oleh kelompok penyerang secara sengaja menyalin stempel waktu penciptaan serta hak izin milik berkas resmi yang sudah ada sebelumnya ke berkas-berkas milik malware mereka sendiri.
Versi Perangkat Terdampak dan Panduan Perbaikan
Celah keamanan CVE-2026-20127 melanda produk Catalyst SD-WAN Controller (dahulu vSmart), Manager (dahulu vManage), dan Validator (dahulu vBond), tanpa memandang bagaimana konfigurasi sistem dijalankan. Sistem jaringan lokal (on-premises) dinyatakan terdampak secara langsung, begitu pula seluruh infrastruktur penerapan komputasi awan SD-WAN terkelola milik Cisco, termasuk di dalamnya instalasi Cisco Managed dan lingkungan komputasi khusus bersertifikasi FedRAMP. Cisco kemudian secara resmi menambahkan perangkat Validator ke dalam lembar peringatan keamanannya pada tanggal 16 Juni.
Pihak korporasi Cisco mengakui bahwa mereka menyadari adanya aksi eksploitasi terbatas di lapangan terkait celah ini. Tidak ada tindakan mitigasi sementara yang tersedia, dan rilis versi pertama yang telah memuat tambalan keamanan mencakup:
Seluruh versi rilis yang berada di bawah edisi 20.9 serta jalur rilis 20.11, 20.13, 20.14, dan 20.16 dinyatakan telah resmi mencapai fase akhir masa pemeliharaan perangkat lunak.
Sembari menunggu pelaksanaan peningkatan versi sistem secara menyeluruh, para pelanggan dengan infrastruktur lokal dihimbau untuk membatasi akses terbuka menuju porta 22 dan porta 830 hanya untuk daftar alamat IP milik pengontrol resmi dan sistem tepercaya lainnya. Cisco menyampaikan bahwa langkah isolasi ini berhasil berjalan efektif dalam skenario uji coba laboratorium mereka, namun para pengguna tetap disarankan memastikan sendiri efektivitasnya di jaringan masing-masing. Proteksi semacam ini sendiri sejatinya telah dipasang secara permanen pada sistem cloud SD-WAN terkelola milik Cisco.
Akan tetapi, upaya pemblokiran porta akses jaringan tersebut dipastikan tidak akan mampu melenyapkan sisa-sisa malware berbahaya yang mungkin telah berhasil tertanam di dalam perangkat.
Langkah Pemeriksaan Keberadaan Infeksi KeyDrift
Organisasi Cisco Talos mengimbau seluruh pengelola jaringan agar segera menginstal tambalan keamanan terbaru dari Cisco, mematuhi seluruh petunjuk penguatan keamanan sistem Catalyst SD-WAN, dan senantiasa waspada terhadap indikasi adanya aktivitas mencurigakan pasca-peretasan. Siapa pun pihak yang menemukan indikasi keterbobolan diminta untuk segera meluncurkan prosedur respons insiden serta dapat meminta bantuan langsung kepada Technical Assistance Center (TAC) Cisco.
Rekomendasi teknis tersebut sayangnya tidak merinci secara eksplisit apakah proses peningkatan sistem secara otomatis akan menghapus malware KeyDrift dari perangkat yang sebelumnya telah dibobol, atau apakah seluruh kunci kriptografi lama perlu diganti baru secara menyeluruh. Dokumen pemulihan keamanan Cisco bulan Februari untuk celah ini secara tegas memperingatkan potensi adanya eksploitasi aktif terdahulu yang masih tetap bercokol di sistem sebelum tindakan pembaruan dilakukan.
Malware KeyDrift diketahui mengoperasikan dan menyusupkan berkas-berkas serta lokasi berikut, yang beberapa di antaranya hanya berhasil diidentifikasi berdasarkan nama semata:
Dokumen rilis teknis milik tim Talos tidak menyertakan rincian daftar nilai hash berkas digital, daftar alamat IP, maupun domain internet pengendali yang digunakan langsung oleh operasi KeyDrift.
Pada tanggal 28 Oktober, Talos merilis serangkaian aturan deteksi Snort baru yang bertugas memindai tanda-tanda koneksi perintah dan kendali masuk dari KeyDrift: nomor aturan 67387 hingga 67416 untuk lingkungan Snort 2, serta aturan 7:44 hingga 7:73 untuk Snort 3. Selain itu, aturan bernomor 65938 dan 65958 yang telah dipublikasikan sebelumnya secara khusus melindungi sistem dari eksploitasi celah CVE-2026-20127 itu sendiri.
Laporan pembaruan tertanggal 28 Oktober menerangkan bahwa rangkaian aturan Snort 2 dimatikan secara bawaan, sehingga para pelanggan layanan berbayar Snort Subscriber harus menyalakannya secara manual. Di sisi lain, aturan pendeteksi untuk Snort 3 disajikan ke publik tanpa memiliki pengaturan status aktif baku.
Guna mendeteksi potensi eksploitasi langsung pada celah keamanan ini, Cisco menginstruksikan para pengelola untuk memeriksa berkas catatan /var/log/auth.log demi mencari kemunculan baris catatan berbunyi Accepted publickey for vmanage-admin yang berasal dari alamat IP tak dikenal. Sebelum membuat laporan bantuan teknis resmi ke pihak TAC, pelanggan diwajibkan menjalankan instruksi baris perintah request admin-tech pada seluruh unit komponen pengendali. Dokumen panduan perbaikan juga menganjurkan untuk memindai ulang berkas laporan admin-tech tersebut memakai fitur Check Bug Applicability pada portal Bug Search Tool untuk catatan kutu bernomor CSCws52722.
Khusus bagi seluruh instansi sipil federal Amerika Serikat, surat instruksi darurat dari CISA tertanggal 25 Februari menetapkan serangkaian tindakan wajib bila ditemukan adanya pembobolan akun pengendali root. Mereka diwajibkan segera melaporkan insiden itu kepada CISA, membangun ulang unit Manager, Controller, dan Validator yang benar-benar bersih dari citra sistem yang telah tertambal, lalu memindahkan seluruh konfigurasi router edge mereka ke ekosistem infrastruktur baru yang aman.