Cisco Talos telah menghubungkan malware yang mencuri kunci dari sistem Cisco SD-WAN dengan infrastruktur yang tumpang tindih dengan jaringan "Silent Train" Volt Typhoon, sebuah jaringan yang sebelumnya dirinci oleh Lumen. Temuan ini menghubungkan zero-day Cisco SD-WAN dengan aktivitas Volt Typhoon ke pola yang lebih luas: aktor yang terkait dengan negara menargetkan router dan perangkat edge yang membawa lalu lintas suatu organisasi.

Ringkasan publik dari penelitian ini singkat, jadi tulisan ini berpegang pada apa yang telah dilaporkan dan menjelaskan mengapa hal itu penting bagi orang-orang yang menjalankan infrastruktur jaringan.

Apa yang ditemukan Talos dalam serangan SD-WAN

Menurut laporan tersebut, Cisco Talos mengaitkan malware pencuri kunci yang digunakan terhadap Cisco SD-WAN dengan infrastruktur yang tumpang tindih dengan jaringan Silent Train. Malware tersebut menargetkan kunci pada sistem SD-WAN, dan aktivitas tersebut melibatkan eksploitasi zero-day, yang berarti celah tersebut digunakan sebelum perbaikan tersedia.

Ringkasan sumber tidak memberikan detail lebih lanjut tentang kerentanan spesifik, versi yang terdampak, atau jumlah korban, jadi kami tidak akan berspekulasi tentang hal-hal tersebut. Administrator harus memeriksa advisori Cisco sendiri untuk daftar otoritatif produk yang terdampak dan rilis yang telah diperbaiki.

Bagaimana Silent Train menghubungkan aktivitas tersebut dengan Volt Typhoon

Atribusi di sini adalah tentang tumpang tindih infrastruktur, bukan pernyataan bahwa satu kelompok pasti berada di balik setiap intrusi. Talos menemukan bahwa server dan sumber daya jaringan yang terkait dengan malware tersebut tumpang tindih dengan Silent Train, yang dijelaskan Lumen dalam penelitiannya sendiri dan dihubungkan dengan Volt Typhoon.

Tumpang tindih dalam infrastruktur adalah sinyal yang berguna bagi para pembela. Hal ini memungkinkan tim keamanan membandingkan indikator di seluruh investigasi, dan menunjukkan bahwa operator yang sama, atau operator yang berbagi sumber daya, mungkin terlibat. Ini tidak sama dengan atribusi penuh, dan pembaca harus memperlakukan hal tersebut dengan pembedaan itu dalam pikiran.

Mengapa perangkat edge dan kunci yang dicuri menjadi target yang begitu berharga

Pengendali SD-WAN dan router edge berada di titik penyempitan. Mereka menghubungkan kantor cabang, pusat data, dan layanan cloud, dan sering menyimpan materi kriptografi yang mengautentikasi perangkat satu sama lain. Mencuri kunci dari sistem semacam itu dapat memberi penyerang cara untuk menyamar dengan lalu lintas yang sah atau mencapai bagian lain dari jaringan.

Perangkat edge juga lebih sulit dipantau daripada laptop atau server. Banyak organisasi tidak dapat menjalankan agen keamanan endpoint pada perangkat ini, sehingga kompromi dapat luput dari perhatian untuk waktu yang lama. Hal itu membuatnya menarik bagi aktor yang sabar dan memiliki sumber daya yang baik.

Ini bukan tren yang terisolasi untuk produk Cisco. Liputan terbaru telah membahas bagaimana zero-day Cisco FMC CVE-2026-20316 mengalami serangan aktif, dan bagaimana tiga kelompok peretas menggunakan celah FMC untuk menyebarkan ransomware Qilin. Infrastruktur manajemen dan jaringan terus menarik perhatian dari berbagai jenis penyerang yang sangat berbeda.

Apa yang harus dilakukan admin sekarang untuk menambal dan memperkuat perangkat edge

Jika Anda mengelola Cisco SD-WAN atau infrastruktur edge lainnya, ada beberapa langkah yang layak diprioritaskan:

  • Terapkan perbaikan Cisco dengan segera. Periksa advisori vendor untuk SD-WAN dan pasang rilis yang telah ditambal segera setelah tersedia untuk penerapan Anda.
  • Audit antarmuka manajemen yang terekspos. Pengendali dan bidang manajemen tidak boleh dapat dijangkau dari internet terbuka. Batasi akses ke jaringan tepercaya atau jalur manajemen khusus.
  • Tinjau dan rotasi kredensial serta kunci. Karena malware menargetkan kunci, pertimbangkan apakah sertifikat dan rahasia pada sistem yang terdampak perlu diganti setelah penambalan.
  • Periksa log untuk aktivitas tidak biasa. Cari login tak terduga, perubahan konfigurasi, atau koneksi dari alamat yang tidak dikenal, dan bandingkan dengan indikator apa pun yang diterbitkan Cisco Talos dan Lumen.
  • Segmentasi dan pantau. Batasi apa yang dapat dijangkau oleh perangkat edge yang terkompromi, dan kirim log-nya ke sistem yang tidak dapat dengan mudah diubah oleh penyerang.

Apa Artinya Bagi Anda

Jika Anda menjalankan usaha kecil atau jaringan terkelola, Anda mungkin mengandalkan SD-WAN atau perangkat edge tanpa banyak memikirkannya. Laporan ini adalah pengingat bahwa perangkat ini bukanlah pasang-dan-lupakan. Perangkat ini memerlukan disiplin penambalan yang sama seperti server, dan seringkali lebih, karena penyerang tahu perangkat ini dipantau secara longgar.

Jika Anda adalah pengguna individu, tidak ada tindakan tunggal yang harus diambil berdasarkan laporan ini. Namun, hal ini menunjukkan mengapa menjaga firmware router dan firewall tetap terkini di rumah atau di kantor kecil itu penting. Organisasi yang menangani data Anda hanya seaman perangkat yang membawa lalu lintas mereka.

Poin-poin penting

Koneksi zero-day Cisco SD-WAN dengan Volt Typhoon yang dilaporkan oleh Talos menyoroti bagaimana aktor yang terkait dengan negara memperlakukan infrastruktur edge sebagai target bernilai tinggi. Jika Anda mengelola Cisco atau sistem edge lainnya, tambal dengan segera, audit antarmuka manajemen mana yang terekspos, dan rotasi kunci di mana kompromi mungkin terjadi. Untuk pandangan yang lebih luas tentang pola ini, baca liputan kami tentang celah Cisco FMC yang dieksploitasi oleh Sandworm dan Qilin dan zero-day Secure Email Gateway yang dieksploitasi secara aktif. Kemudian periksa perangkat edge Anda sendiri hari ini.