Ing. Calogero Bono
Cisco Talos pada 28 Oktober menerbitkan analisis tentang KeyDrift, malware yang dirancang untuk berjalan di dalam controller Cisco Catalyst SD-WAN. Penyerang masuk dengan mengeksploitasi CVE-2026-20127, celah bypass autentikasi dengan skor CVSS 10.0 yang sudah diperbaiki Cisco pada Februari. Tujuan malware ini adalah menyalin kunci yang mengenkripsi lalu lintas antar cabang sebuah organisasi. Hal ini penting bagi siapa pun yang mengelola jaringan perusahaan tersebar secara geografis, karena yang diserang adalah otak jaringan dan bukan satu router saja.
Beberapa istilah dulu sebelum masuk ke fakta. SD-WAN adalah jaringan geografis yang dikelola lewat perangkat lunak, yang menghubungkan kantor pusat dan cabang. Controller (dulu disebut vSmart) mendistribusikan aturan dan kunci, Manager (vManage) mengelola semuanya, dan Validator (vBond) mengautentikasi perangkat. NETCONF adalah protokol untuk mengubah konfigurasi perangkat jaringan. APT adalah kelompok penyerang yang canggih dan gigih, yang sering terkait dengan sebuah negara. Bypass autentikasi memungkinkan seseorang masuk tanpa mengetahui password apa pun.
Apa yang terjadi dengan CVE-2026-20127
Menurut pengumuman resmi Cisco, masalahnya terletak pada autentikasi antar komponen yang tidak berjalan semestinya. Penyerang jarak jauh yang tidak terautentikasi bisa mengirim permintaan yang disusun khusus dan memperoleh hak akses administrator. Pada sebuah Controller, penyerang bisa masuk sebagai pengguna internal dengan hak tinggi, tetapi bukan root. Dari situ ia bisa mencapai NETCONF dan mengubah konfigurasi seluruh jaringan SD-WAN.
Celah ini memengaruhi Controller, Manager, dan Validator, apa pun konfigurasinya. Instalasi on-premise dan cloud yang dihosting Cisco ikut terdampak, termasuk yang dikelola Cisco serta lingkungan FedRAMP. Menurut The Hacker News, Cisco menambahkan Validator ke pengumuman pada 16 Juni dan menyatakan mengetahui adanya eksploitasi dalam skala terbatas. Tidak ada solusi alternatif selain patch.
Bagaimana KeyDrift bekerja di dalam controller?
Dalam mekanisme pertukaran kunci yang lazim, setiap router secara berkala membuat kunci AES untuk lalu lintasnya sendiri dan mengirimkannya ke Controller. Controller kemudian meneruskannya ke router lain. Sebuah proses bernama vdaemon mengelola koneksi kontrol terenkripsi yang membawa kunci-kunci tersebut.
PolyFlame dan LittleFilch
KeyDrift memiliki dua komponen utama. PolyFlame berjalan di memori di dalam proses vdaemon yang sah. Ia bisa berperilaku seperti backdoor bergaya TinyShell, yang menjalankan perintah serta membaca dan menulis file, atau berfungsi sebagai relay antara server komando dan mesin lain. Sampel yang dianalisis tidak memuat alamat server yang tertulis di dalam kode.
LittleFilch menempel pada vdaemon dan membaca pesan kontrol setelah didekripsi. Untuk daftar router tepi yang sudah ditentukan, ia mengambil alamat IP dan sebuah bidang 32 byte, yang menurut Talos adalah materi kunci AES-256 untuk tunnel IPsec. Semuanya dienkripsi dengan RSA, lalu disimpan di /var/tmp/vdaemon.bin dan bisa dikirim lewat UDP ke alamat yang dibaca dari file pengaturan, yang dihapus setelah digunakan.
Cara pemasangannya
Menurut Talos, KeyDrift terutama masuk lewat skrip runit yang sudah dimodifikasi, yaitu skrip yang digunakan perangkat Cisco untuk menjalankan layanan. Skrip layanan SSH menjalankan loader bernama conf_sshd, dan alat bernama rsshd menyuntikkan PolyFlame ke proses vdaemon. Pada Validator yang sudah disusupi, muncul layanan palsu bernama aaamgr. Penyerang juga memakai timestomping, yakni menyalin tanggal dan izin file yang sudah ada ke file milik mereka.
Versi mana yang sudah aman?
Cisco menyebutkan rilis perbaikan pertama untuk setiap lini. Daftar lini yang sudah tidak mendapat pemeliharaan mengikuti yang dilaporkan The Hacker News.
- Sebelum 20.9 - migrasi ke rilis yang sudah diperbaiki.
- 20.9 - 20.9.8.2.
- 20.11 - 20.12.6.1.
- 20.12 - 20.12.5.3 atau 20.12.6.1.
- 20.13, 20.14, dan 20.15 - 20.15.4.2.
- 20.16 dan 20.18 - 20.18.2.1.
Rilis sebelum 20.9 serta lini 20.11, 20.13, 20.14, dan 20.16 sudah berakhir masa pemeliharaan software. Jika kamu masih memakainya, pindahlah ke versi yang didukung.
Sambil menunggu, pengelola instalasi on-premise bisa membatasi port 22 dan 830 dengan ACL, aturan firewall, atau security group, dan hanya mengizinkan IP yang sudah dikenal dari controller serta host yang dibutuhkan. Cisco menyatakan langkah ini berhasil di lingkungan uji, tetapi tetap menyarankan untuk memverifikasinya di jaringan kamu sendiri. Untuk cloud yang dihosting Cisco, perlindungan ini sudah aktif.
Siapa di balik serangan ini?
Talos mengaitkan KeyDrift dengan kelompok UAT-11473, yang menargetkan layanan antariksa dan satelit, teknologi pertahanan dan dirgantara, serta pusat riset kebijakan publik. Menurut BleepingComputer, kelompok ini tampaknya tumpang tindih dengan jaringan akses tersembunyi bernama Silent Train, yang terkait dengan Volt Typhoon, tetapi Talos belum menarik kesimpulan pasti.
Menurut The Hacker News, tumpang tindihnya ada pada infrastruktur. Silent Train adalah nama yang digunakan Black Lotus Labs dari Lumen untuk jaringan perangkat yang disusupi, termasuk perangkat untuk kantor kecil, rumah tangga, dan IoT. Lumen berpendapat Volt Typhoon memakainya untuk menyembunyikan aktivitasnya dan sudah mengeksploitasi CVE-2026-20127 sejak akhir 2025, bahkan setelah pengungkapan pada Februari. Namun Lumen tidak mengaitkan aktivitas itu dengan KeyDrift.
Batasan yang perlu kamu ketahui
Banyak hal masih belum jelas. Talos menjelaskan serangan di masa lalu, tetapi tidak menyebutkan kapan terjadinya dan apakah ada kunci yang benar-benar terkirim. File pengaturan dengan alamat tujuan belum ditemukan. Laporan itu juga tidak menyertakan hash file, alamat IP, atau domain yang berguna untuk perburuan ancaman.
Belum jelas bagaimana UAT-11473 berhubungan dengan UAT-8616, kelompok yang disebut pada Februari. Belum jelas juga apakah pembaruan menghapus KeyDrift dari perangkat yang sudah disusupi, atau apakah kuncinya perlu diganti. Selain itu, memblokir port tidak menghapus malware yang sudah ada. Cisco memperingatkan bahwa sebelum pembaruan dilakukan, kompromi yang masih aktif mungkin sudah ada.
Apa dampaknya bagi kamu yang bekerja di dunia digital
Jika perusahaan atau klien kamu memakai Catalyst SD-WAN, pembaruan saja tidak cukup. Kamu juga perlu memeriksa apakah ada yang sudah masuk sebelumnya. Cisco menyarankan membaca /var/log/auth.log dan mencari entri Accepted publickey untuk vmanage-admin dari IP yang tidak dikenal, lalu membandingkannya dengan System IP yang tampil di Manager.
Setiap event peering di log perlu divalidasi secara manual. Periksa waktunya terhadap jendela pemeliharaan, IP publiknya terhadap inventaris, IP sistem peer, dan jenis peer-nya. Sebelum membuka kasus dengan Cisco TAC, jalankan perintah request admin-tech pada setiap komponen kontrol.
Bagi kamu yang mengembangkan dan mengelola server, ada pelajaran yang lebih luas. Kunci enkripsi sama menariknya dengan password sebagai sasaran, sehingga sistem yang mendistribusikannya harus diisolasi dan dipantau. Jika ingin mengulang prinsip dasarnya, kamu bisa membaca panduan tentang protokol Signal untuk enkripsi end-to-end. Dengan hosting dan server terkelola dengan pembaruan keamanan, urusan patch berpindah ke pihak yang mengelolanya, tetapi tetap perlu diverifikasi kasus per kasus.
Pendapat kami
Menurut kami, yang paling serius bukan malware-nya, melainkan waktunya. Menurut Cisco Talos, eksploitasinya sudah berlangsung sejak setidaknya 2023, dan Lumen berbicara tentang aktivitas yang terus berlanjut sampai setelah Februari. Patch yang dirilis tidak menutup persoalan jika selama berbulan-bulan seseorang memiliki akses administrator. Banyak organisasi menganggap pembaruan sebagai akhir pekerjaan, padahal di sini belum.
Kami juga merasa komunikasi mengenai langkah setelahnya kurang memuaskan. Panduan tentang apa yang harus dilakukan jika menemukan kompromi masih umum, dan belum ada jawaban jelas soal penggantian kunci. Untuk usaha kecil di Italia, yang sering mengandalkan penyedia jaringan tanpa bisa melihat log mereka, ini masalah nyata. Skenario risiko serupa bagi UKM pernah kami bahas dalam artikel tentang apa arti keamanan ofensif otomatis bagi UKM Italia. Mintalah penyedia kamu jawaban tertulis, bukan sekadar jaminan lisan.
Pertanyaan yang sering diajukan
Apa itu CVE-2026-20127?
Ini adalah celah bypass autentikasi di Cisco Catalyst SD-WAN, dengan skor CVSS 10.0. Celah ini memungkinkan penyerang jarak jauh yang tidak terautentikasi memperoleh hak administrator. Cisco memperbaikinya pada Februari.
Apa itu KeyDrift?
Ini adalah kerangka malware yang dijelaskan Cisco Talos dan dirancang untuk controller SD-WAN. Fungsinya menjaga akses tetap bertahan, menyadap lalu lintas kontrol, dan menyalin kunci enkripsi. Malware ini memiliki dua komponen, yaitu PolyFlame dan LittleFilch.
Adakah solusi alternatif selain pembaruan?
Tidak ada. Cisco menyatakan tidak ada workaround. Untuk instalasi on-premise tersedia mitigasi sementara, yaitu membatasi port 22 dan 830 hanya untuk IP yang dikenal, tetapi langkah ini tidak menggantikan patch.
Bagaimana cara tahu apakah saya sudah disusupi?
Periksa /var/log/auth.log dengan mencari Accepted publickey untuk vmanage-admin dari IP yang tidak dikenal. Bandingkan dengan System IP di Manager dan validasi setiap event peering. Jika menemukan tanda-tandanya, buka kasus dengan Cisco TAC setelah menjalankan request admin-tech.
Apakah cloud yang dihosting Cisco aman?
Tidak sepenuhnya. Instalasi cloud yang dihosting termasuk yang terdampak celah ini. Namun Cisco menyatakan bahwa untuk instalasi tersebut perlindungan pada port sudah aktif.
Yang perlu dicek di bulan-bulan mendatang pada jaringan SD-WAN kamu
Dalam beberapa bulan ke depan, sebaiknya pantau pembaruan Talos mengenai indikator kompromi dan pembersihan perangkat yang sudah terdampak. Ada tiga langkah praktis.
- Periksa rilis yang kamu pakai, lalu pindah ke versi yang sudah diperbaiki dan masih didukung, dengan mengacu pada tabel dari Cisco.
- Cari jejak sebelumnya di log autentikasi dan pada file yang ditunjukkan Talos, lalu simpan file admin-tech untuk TAC.
- Batasi port 22 dan 830 hanya untuk IP yang dikenal, dan tanyakan kepada penyedia apakah mereka sudah merencanakan penggantian kunci. Untuk dukungan dari pihak luar, kamu bisa melihat layanan agensi Meteora Web.
