---
title: Peretas Manfaatkan Celah Cisco SD-WAN untuk Menanam Perangkat Lunak Berbahaya Pencuri Kunci Enkripsi
url: https://www.dataloco.com/id/peretas-manfaatkan-celah-cisco-sd-wan-untuk-menanam-perangkat-lunak-berbahaya-pencuri-kunci-enkripsi
published: 2026-11-01T07:25:27+00:00
language: id
section: Keamanan
source: https://thehackernews.com/2026/10/hackers-exploited-cisco-sd-wan-flaw-to.html
organizations: Cisco, Lumen, CISA, NSA, FBI
publisher: Dataloco
---

# Peretas Manfaatkan Celah Cisco SD-WAN untuk Menanam Perangkat Lunak Berbahaya Pencuri Kunci Enkripsi

Peretas telah mengeksploitasi celah kritis pada Cisco Catalyst SD-WAN untuk menanamkan perangkat lunak berbahaya khusus di dalam sistem yang mengendalikan jaringan SD-WAN sebuah organisasi.

Perangkat lunak berbahaya yang disebut KeyDrift ini dirancang untuk menyalin kunci yang mengenkripsi lalu lintas antar situs dan menyimpannya untuk digunakan nanti, menurut pernyataan Cisco Talos pada 28 Oktober. Talos menyebut serangan tersebut sebagai peristiwa historis, namun tidak merinci kapan serangan itu terjadi atau apakah ada kunci yang telah dikirimkan.

Celah keamanan yang dilacak sebagai CVE-2026-20127 ini memiliki skor CVSS 10,0. Masalah ini memungkinkan penyerang jarak jauh yang tidak terautentikasi untuk melewati proses autentikasi dan memperoleh hak istimewa administratif pada sistem kontrol tersebut. Pada sebuah Pengendali, penyerang dapat masuk menggunakan akun internal dengan hak istimewa tinggi yang bukan merupakan akun akar.

Komponen KeyDrift yang disebut LittleFilch bekerja dengan mengaitkan diri ke vdaemon pada Pengendali yang terkompromi dan membaca pesan kontrol setelah didekripsi. LittleFilch mengambil alamat IP dan bidang 32 byte yang dinilai oleh Talos sebagai materi kunci AES-256 yang dikirimkan Pengendali antar router. Data yang dikumpulkan kemudian dienkripsi dengan RSA, ditulis ke dalam berkas, dan dapat dikirim melalui UDP ke alamat yang terdaftar dalam berkas pengaturan.

Kelompok di balik KeyDrift, yang dilacak oleh Talos sebagai UAT-11473, telah menargetkan layanan ruang angkasa dan satelit, teknologi pertahanan dan kedirgantaraan, serta penelitian kebijakan. Talos menilai dengan keyakinan tinggi bahwa infrastruktur kelompok ini sangat tumpang tindih dengan Silent Train, sebuah jaringan perangkat kantor kecil, rumah, IoT, dan bisnis yang diretas.

Lumen menyatakan bahwa Volt Typhoon menggunakan jaringan tersebut untuk menyembunyikan aktivitasnya. CISA, NSA, dan FBI menyatakan pada tahun 2024 bahwa Volt Typhoon adalah kelompok siber yang disponsori negara Tiongkok. Lumen juga menyebutkan bahwa Volt Typhoon mengeksploitasi CVE-2026-20127 sejak akhir 2025 dan terus melakukannya setelah Cisco mengungkapkan celah tersebut pada Februari.

KeyDrift terutama dimulai melalui skrip runit yang dimodifikasi. Dalam satu versi, skrip untuk layanan SSH memulai skrip pemuat bernama conf_sshd sebelum server SSH asli. Skrip tersebut menulis ID proses vdaemon ke dalam berkas, dan alat bernama rsshd menyuntikkan modul utama KeyDrift, PolyFlame, ke dalam proses tersebut. PolyFlame berjalan di memori dalam vdaemon dan dapat berfungsi sebagai pintu belakang untuk menjalankan perintah atau sebagai relai yang meneruskan perintah.

Celah CVE-2026-20127 berdampak pada Pengendali, Manajer, dan Validator Catalyst SD-WAN, terlepas dari konfigurasinya. Sistem di lokasi maupun penerapan awan SD-WAN Cisco, termasuk lingkungan Cisco Managed dan FedRAMP, semuanya terdampak. Cisco menyatakan telah mengetahui adanya eksploitasi terbatas terhadap celah ini dan telah merilis perbaikan sejak Februari.

## This story in other languages

- [日本語](https://www.dataloco.com/ja/cisco-sd-wan)
- [한국어](https://www.dataloco.com/ko/cisco-sd-wan)
- [हिन्दी](https://www.dataloco.com/hi/saibra-aparathhaya-na-sasaka-ka-gabhara-sarakashha-thashha-ka-upayaga-karaka-enakarapashana-ka-kajaya-carana-ka-le-malvayara-lgaii)
- [Türkçe](https://www.dataloco.com/tr/saldirganlar-sifreleme-anahtarlarini-calmak-icin-cisco-sd-wan-acigini-kullandi)
- [Русский](https://www.dataloco.com/ru/xakery-ispolzovali-uiazvimost-cisco-sd-wan-dlia-ustanovki-vredonosnogo-po-dlia-krazi-kliucei-sifrovaniia)
- [עברית](https://www.dataloco.com/he/cisco-sd-wan-2)
- [العربية](https://www.dataloco.com/ar/mkhtrkon-astghloa-thghr-fy-cisco-sd-wan-lzraa-brmgyat-khbyth-tsrk-mfatyh-altshfyr)
- [ไทย](https://www.dataloco.com/th/cisco-sd-wan)
- [Deutsch](https://www.dataloco.com/de/schadsoftware-keydrift-stiehlt-verschlusselungsschlussel-uber-cisco-schwachstelle)
- [Español](https://www.dataloco.com/es/piratas-informaticos-aprovecharon-un-fallo-de-cisco-sd-wan-para-implantar-malware-que-roba-claves-de-cifrado)
- [Italiano](https://www.dataloco.com/it/hacker-sfruttano-una-falla-di-cisco-sd-wan-per-installare-malware-volto-al-furto-di-chiavi-di-crittografia)
- [Nederlands](https://www.dataloco.com/nl/hackers-gebruikten-cisco-sd-wan-lek-om-malware-voor-encryptiesleutels-te-plaatsen)
- [Svenska](https://www.dataloco.com/sv/hackare-utnyttjade-kritisk-sarbarhet-i-cisco-sd-wan-for-att-stjala-krypteringsnycklar)