Kelompok Konni Korea Utara menyalahgunakan Google Find Hub dan KakaoTalk untuk menghapus data ponsel dan menyebarkan malware di Korea Selatan

Bagaimana operator Korea Utara menjadikan aplikasi tepercaya sebagai senjata untuk menyerang warga Korea Selatan

Operator siber yang didukung negara Korea Utara menjalankan kampanye terkoordinasi dengan menjadikan perangkat sehari-hari sebagai jalur serangan, menurut penyelidik forensik di Korea Selatan. Kelompok yang terkait dengan klaster Konni, jaringan aktor yang berafiliasi dengan Pyongyang, mencuri kredensial akun Google, mengambil alih ponsel dan tablet Android dari jarak jauh melalui layanan Find Hub milik Google, lalu membajak akun KakaoTalk untuk menyebarkan malware melalui jaringan kontak tepercaya. Para peneliti menyebutnya sebagai kasus pertama yang terkonfirmasi ketika operasi terkait Korea Utara menyusupi akun Google untuk mengendalikan perangkat pintar dari jarak jauh dengan memanfaatkan fungsi pengelolaan bawaan.

Analis keamanan di Genians Security Center mengatakan para penyerang mula-mula menyamar sebagai pejabat pajak untuk memasang malware. Setelah memantau secara diam-diam selama beberapa waktu, para penyusup masuk ke akun Google yang telah dicuri. Melalui Find Hub, perangkat keselamatan konsumen yang memungkinkan pemilik melacak dan melindungi perangkat yang hilang, mereka melacak lokasi ponsel dan memerintahkan pengaturan ulang ke setelan pabrik dari jarak jauh. Penghapusan itu menghapus data pribadi dan untuk sementara membungkam notifikasi, kondisi yang membantu tahap berikutnya berhasil.

Ketika target tidak dapat menerima panggilan dan notifikasi, operasi beralih ke klien desktop KakaoTalk yang masih dalam keadaan masuk. Dengan menggunakan nama korban dan riwayat percakapan tepercaya, para penyerang mengirim berkas berbahaya yang disamarkan sebagai program pereda stres kepada daftar kontak. Taktik ini memungkinkan malware menyebar melalui kepercayaan sosial dan menunda penemuan serangan karena banyak korban terkunci dari perangkat atau sibuk memulihkan ponsel mereka.

Google menyatakan bahwa aktivitas tersebut menyalahgunakan akses akun yang sah dan fitur resmi, bukan kerentanan di Android atau Find Hub. Perusahaan mendorong pengguna untuk mengaktifkan verifikasi dua langkah atau kunci sandi dan, bagi individu berisiko tinggi, mendaftar ke Advanced Protection.

Yang terjadi dalam serangan

Operasi ini berlangsung dalam beberapa tahap yang memadukan umpan email, pencurian akun, kendali perangkat berbasis cloud, dan penyalahgunaan aplikasi pesan. Ini merupakan contoh teknik penyerang yang memanfaatkan perangkat dan layanan bawaan, ketika layanan dan aplikasi tepercaya dijadikan alat penyerang. Dua insiden yang dijabarkan para penyelidik, termasuk kasus pada 5 September dan 15 September, menunjukkan betapa cepat pendekatan ini dapat menyebarkan malware di lingkungan pribadi maupun profesional setelah satu akun disusupi.

Langkah 1: Spear phishing dan penyusupan awal

Penyusupan dimulai dengan pesan yang ditargetkan dan menyamar sebagai Direktorat Jenderal Pajak Korea Selatan. Korban dibujuk untuk membuka lampiran atau program pemasang yang tampak sah, termasuk berkas yang dikemas sebagai program pemasang MSI bertanda tangan digital. Di balik layar, berkas tersebut menjalankan skrip yang mempertahankan akses dan mengunduh alat akses jarak jauh. Analis mengamati sejumlah keluarga malware yang memberi kendali penuh atas sistem Windows, termasuk Lilith RAT, Remcos RAT, Quasar RAT, dan RftRAT, serta program pemuat berbasis AutoIt. Malware tersebut melakukan pengintaian, mencuri kredensial yang tersimpan di peramban, dan memantau aktivitas untuk menyiapkan lingkungan bagi pencurian akun.

Targetnya mencakup orang-orang yang bekerja dengan pembelot Korea Utara dan pegiat hak asasi manusia. Beberapa umpan disajikan sebagai program yang bermanfaat untuk meredakan stres. Dengan menyesuaikan pesan menurut peran dan kekhawatiran penerima, para penyerang meningkatkan kemungkinan berkas dibuka, sehingga mereka mendapat pijakan di komputer pribadi korban.

Langkah 2: Pengambilalihan akun dan penyalahgunaan Find Hub

Setelah malware terpasang, para operator mencuri kredensial akun untuk layanan seperti Google dan Naver. Dengan menggunakan kredensial Google yang dicuri, mereka mengakses Find Hub. Layanan ini memungkinkan pemilik perangkat melihat lokasi terakhir ponsel dan mengirim perintah seperti membunyikan perangkat atau mengatur ulang perangkat ke setelan pabrik. Para penyusup menggunakan permintaan lokasi untuk memastikan target tidak sedang aktif menggunakan ponsel, lalu memicu pengaturan ulang dari jarak jauh. Penyelidik juga menemukan indikasi bahwa dalam beberapa kasus, penyerang menghapus email peringatan keamanan dan mengosongkan folder sampah kotak masuk untuk menutupi jejak. Beberapa perintah pengaturan ulang dikirim untuk mempersulit pemulihan dan mengurangi bukti di ponsel.

Setelah perangkat diatur ulang, pemilik tidak dapat melihat notifikasi baru, termasuk pesan mendesak dari kontak yang menanyakan berkas mencurigakan. Penghapusan itu juga menyingkirkan petunjuk yang dapat mengungkap penyusupan, sehingga para penyerang punya waktu untuk menjalankan langkah berikutnya dari perangkat lain yang masih masuk ke akun korban.

Langkah 3: KakaoTalk sebagai pengeras suara malware

KakaoTalk digunakan hampir secara universal di Korea Selatan, dan banyak pengguna membiarkan sesi desktop tetap masuk. Setelah ponsel diatur ulang, para penyerang beralih ke klien KakaoTalk PC milik korban untuk menyebarkan berkas berbahaya dengan cepat. Pesan dikirim dengan nama asli dan foto profil korban, sering kali disertai catatan singkat dan lampiran. Penerima yang memercayai pengirim membuka berkas tersebut, yang memasang malware dan menambah jumlah komputer yang disusupi. Dalam satu kasus, pesan dikirim kepada lebih dari 30 kontak dalam hitungan menit. Kasus lain melibatkan penyebaran serentak secara luas dari akun lain yang disusupi sepuluh hari kemudian.

Siapa di balik kampanye ini

Aktivitas tersebut dikaitkan dengan klaster Konni, jaringan spionase siber terkait Korea Utara yang memiliki irisan dengan entitas yang banyak dilacak sebagai Kimsuky dan APT37. Berbagai perusahaan keamanan menggunakan nama berbeda untuk operator yang sama atau bersekutu dekat, termasuk Earth Imp, Opal Sleet, Osmium, TA406, dan Vedalia. Kelompok-kelompok ini berbagi infrastruktur dan perangkat dalam kampanye yang menargetkan lembaga pemerintah Korea Selatan, sektor pendidikan, media, masyarakat sipil, dan komunitas mata uang kripto.

Operator Korea Utara memiliki rekam jejak dalam menargetkan perangkat seluler. Sebagai contoh, para peneliti telah mendokumentasikan spyware Android yang menyamar sebagai aplikasi utilitas atau keamanan, dengan fitur untuk merekam audio, mengambil tangkapan layar, dan mengekfiltrasi berkas. Hal yang membedakan kampanye saat ini adalah penyalahgunaan pengelolaan perangkat berbasis akun untuk menghapus data ponsel, lalu segera beralih ke sesi aplikasi pesan desktop untuk menyebarkannya lebih lanjut. Kombinasi ini menunjukkan koordinasi matang lintas platform, bukan satu jenis malware yang bekerja sendiri.

Mengapa penyalahgunaan Find Hub menjadi titik balik

Selama bertahun-tahun, kelompok terkait Korea Utara memadukan malware khusus dengan kredensial curian dan alat resmi. Penyalahgunaan Find Hub meningkatkan ancaman karena mengubah fitur keselamatan konsumen menjadi alat penghapus jarak jauh sekaligus pengalih perhatian. Pengaturan ulang melumpuhkan ponsel, menghapus jejak data spionase, dan membungkam peringatan melalui jalur lain pada saat peringatan itu paling dibutuhkan. Hal ini membuka peluang untuk menggunakan sesi desktop yang masih masuk guna menyebarkan malware dengan cepat.

Pendekatan ini juga mempersulit respons insiden. Sebagian data telemetri dan bukti yang tersimpan di ponsel lenyap setelah perangkat diatur ulang. Aktivitas terkait tersebar di antara perangkat, akun cloud, dan klien desktop. Tim pertahanan harus mengumpulkan data dari ketiganya untuk merekonstruksi rangkaian kejadian secara utuh. Analis Genians menyebut metode ini sebagai titik balik bagi operasi canggih yang terkait Korea Utara.

Dalam laporan mengenai kasus ini, Genians Security Center menulis:

Kombinasi antara penonaktifan perangkat dan penyebaran melalui akun ini belum pernah terjadi dalam skenario APT yang disponsori negara dan diketahui sebelumnya.

Dampak bagi korban dan kerugian yang dialami

Para penyusup tidak memilih target secara acak. Menurut penyelidik, ponsel seorang konselor psikologis yang mendampingi pelajar pembelot Korea Utara diatur ulang pada 5 September. Tak lama kemudian, akun KakaoTalk konselor tersebut digunakan untuk mengirim berkas berlabel program pereda stres kepada klien. Setelah beberapa penerima membukanya, komputer mereka terinfeksi. Pemilihan aplikasi pesan dan isi pesan sama-sama memanfaatkan kepercayaan serta relevansinya bagi kehidupan para penerima.

Sepuluh hari kemudian, seorang aktivis hak asasi manusia yang berfokus pada Korea Utara mengalami hal serupa. Perangkat Android mereka diatur ulang dari jarak jauh melalui Find Hub, lalu akun KakaoTalk sang aktivis mengirim berkas berbahaya kepada 36 kenalan. Dalam kedua kasus, ponsel korban tidak dapat menerima panggilan atau peringatan selama beberapa jam pertama yang krusial, sehingga peringatan dari kontak yang mencurigai adanya masalah tertunda.

Bagi sebagian korban, penghapusan data melenyapkan foto, dokumen, kontak, dan hasil kerja. Penyelidik juga menemukan modul malware dengan kemampuan mengendalikan kamera web dan mikrofon di komputer yang terinfeksi, sehingga muncul kekhawatiran bahwa kamera mungkin digunakan untuk memastikan korban berada di tempat sebelum perintah pengaturan ulang diberikan. Orang-orang yang bekerja dengan pembelot dan kelompok masyarakat sipil di Korea Selatan menghadapi risiko tersendiri. Kampanye ini menunjukkan bagaimana kehidupan digital sehari-hari dapat digunakan untuk menyerang mereka, dengan dampak pribadi dan profesional.

Tanggapan pakar dan pejabat

Kepolisian Korea Selatan telah membuka penyelidikan atas dua insiden pada September tersebut. Analis mengatakan kode dan tekniknya cocok dengan pola yang sebelumnya dikaitkan dengan kelompok yang berafiliasi dengan Korea Utara. Penyelidik mendesak calon target, termasuk konselor dan aktivis, untuk memeriksa secara menyeluruh lingkungan desktop maupun perangkat seluler guna mendeteksi penyusupan akun.

Tim keamanan menekankan bahwa para penyerang tidak memerlukan celah pemrograman di Android atau Find Hub. Mereka hanya membutuhkan kredensial yang sah dan akses ke aplikasi tepercaya. Para peneliti menyarankan penyedia layanan menambahkan langkah verifikasi waktu nyata untuk tindakan sensitif seperti pengaturan ulang jarak jauh, serta aplikasi pesan memberikan peringatan atau jeda yang lebih kuat ketika klien desktop mencoba mengirim berkas yang dapat dieksekusi kepada banyak kontak dalam waktu singkat.

Cara melindungi akun Google dan KakaoTalk

Kampanye ini mengandalkan kredensial yang dicuri, sesi desktop yang terus aktif, dan fitur yang biasanya dipercaya pengguna. Langkah-langkah berikut mengurangi risiko dan mempersulit penyalahgunaan akun:

• Aktifkan verifikasi dua langkah untuk akun Google. Utamakan kunci sandi atau kunci keamanan. Pengguna yang berisiko lebih tinggi, seperti aktivis dan jurnalis, sebaiknya mendaftar ke Program Advanced Protection Google.
• Buka setelan Akun Google dan jalankan Pemeriksaan Keamanan. Hapus perangkat dan sesi yang tidak dikenal. Cabut akses pihak ketiga yang tidak dikenali. Periksa nomor telepon dan email pemulihan.
• Periksa Find Hub atau setelan Temukan Perangkat Saya untuk melihat daftar perangkat yang terhubung ke akun. Pastikan setiap perangkat dikenali. Pastikan masing-masing perangkat dikunci dengan PIN yang kuat dan pengaturan ulang jarak jauh memerlukan autentikasi Anda.
• Audit keamanan email. Cari filter, aturan penerusan, atau akses delegasi yang mencurigakan di Gmail. Penyerang terkadang menambahkan aturan untuk menyembunyikan peringatan.
• Hindari menyimpan kata sandi di peramban pada komputer bersama atau yang tidak dikelola. Gunakan pengelola kata sandi tepercaya yang dikunci dengan kata sandi utama atau kunci keamanan.
• Perbarui Android, Windows, macOS, dan KakaoTalk. Periksa setelan KakaoTalk untuk mengetahui PC mana yang masuk ke akun Anda, lalu keluar dari perangkat yang tidak dikenali.
• Waspadai berkas atau program pemasang aplikasi yang tidak diminta, bahkan jika dikirim oleh kontak tepercaya. Konfirmasikan melalui panggilan di saluran terpisah sebelum membuka berkas apa pun.
• Simpan cadangan luring untuk foto dan dokumen penting. Pengaturan ulang tidak akan memengaruhi cadangan eksternal yang tetap terputus saat tidak digunakan.
• Aktifkan peringatan masuk, lalu baca dengan cermat. Jika menerima peringatan mencurigakan, jangan klik tautan di dalamnya. Buka setelan akun secara langsung melalui sesi peramban baru dan periksa aktivitas.

Langkah segera jika Anda merasa menjadi target

• Dari perangkat bersih yang Anda kendalikan, ubah kata sandi Google dan KakaoTalk. Kemudian aktifkan verifikasi dua langkah atau kunci sandi.
• Buka Akun Google, periksa peristiwa keamanan terbaru, lalu keluarkan semua sesi lain. Cabut token aplikasi yang tidak dikenal.
• Di Gmail, hapus filter atau aturan penerusan yang mencurigakan. Di KakaoTalk, paksa keluar dari semua PC dan lakukan autentikasi ulang hanya pada perangkat yang Anda gunakan.
• Jika ponsel Anda diatur ulang, perlakukan sebagai perangkat baru. Sebelum memulihkan data, ubah kata sandi akun dan verifikasi informasi pemulihan. Pulihkan hanya dari cadangan tepercaya.
• Beri tahu kontak bahwa pesan dari Anda mungkin berbahaya. Minta mereka tidak membuka berkas yang diterima dan menjalankan pemindaian keamanan.
• Simpan bukti jika memungkinkan. Jangan hapus data PC Anda. Ambil tangkapan layar catatan aktivitas yang mencurigakan, lalu hubungi unit kejahatan siber setempat atau tim keamanan tepercaya.

Yang perlu dilakukan organisasi sekarang

Organisasi yang memiliki staf di Korea Selatan atau terkait dengan pekerjaan mengenai Korea Utara sebaiknya berasumsi bahwa mereka merupakan target menarik. Program terarah yang memadukan keamanan identitas dengan pemantauan titik akhir akan mengurangi risiko dan mempercepat respons.

• Wajibkan autentikasi multifaktor untuk semua akun Google Workspace dan penyedia identitas. Terapkan metode tahan phishing seperti kunci sandi atau kunci keamanan perangkat keras.
• Perkuat keamanan peramban dan nonaktifkan penyimpanan otomatis kata sandi di lingkungan yang tidak dikelola. Sediakan pengelola kata sandi kelas perusahaan bagi staf.
• Terapkan deteksi dan respons titik akhir dengan aturan berbasis perilaku untuk program peluncur AutoIt, penyalahgunaan skrip MSI, dan keluarga RAT yang dikenal, termasuk Lilith RAT, Remcos RAT, Quasar RAT, dan RftRAT.
• Blokir atau karantina lampiran yang dapat dieksekusi dan program pemasang MSI dari pengirim eksternal di gerbang email dan aplikasi pesan jika memungkinkan.
• Pantau log audit cloud untuk tindakan mencurigakan, termasuk aktivitas pengaturan ulang jarak jauh dan pemeriksaan lokasi berulang melalui layanan pengelolaan perangkat yang terhubung dengan akun pengguna.
• Jalankan simulasi phishing secara rutin dengan umpan lokal, seperti pemberitahuan dari kantor pajak. Berikan pelatihan tepat waktu kepada staf yang menangani pekerjaan sensitif bersama pembelot dan aktivis.
• Susun panduan respons cepat untuk pengambilalihan akun yang mencakup akun Google, klien desktop KakaoTalk, dan pengaturan ulang perangkat seluler. Latih panduan tersebut melalui simulasi.
• Sediakan saluran bagi kontak untuk melaporkan pesan dan berkas mencurigakan yang tampaknya berasal dari staf Anda. Perlakukan laporan tersebut sebagai prioritas tinggi.

Ringkasan

• Penyelidik mengaitkan kampanye baru terhadap warga Korea Selatan dengan klaster Konni yang berafiliasi dengan Korea Utara.
• Penyerang mencuri kredensial Google, menggunakan Find Hub untuk melacak dan mengatur ulang perangkat Android ke setelan pabrik, lalu menyalahgunakan sesi desktop KakaoTalk untuk menyebarkan malware kepada kontak.
• Kasus-kasus ini mencakup seorang konselor bagi pelajar pembelot Korea Utara dan seorang aktivis hak asasi manusia. Dalam satu insiden, pesan berisi malware dikirim kepada lebih dari 30 kontak, dan dalam insiden lain kepada 36 kontak.
• Operasi ini menggunakan spear phishing yang menyamar sebagai Direktorat Jenderal Pajak, program pemasang MSI bertanda tangan digital, skrip AutoIt, dan alat akses jarak jauh termasuk Lilith RAT, Remcos RAT, Quasar RAT, dan RftRAT.
• Para peneliti menyebutnya sebagai kasus pertama yang terkonfirmasi ketika aktor terkait Korea Utara menggunakan akun Google yang disusupi untuk mengirim perintah perangkat jarak jauh melalui Find Hub.
• Google menyatakan aktivitas tersebut menyalahgunakan fitur akun yang sah dan kredensial curian, bukan celah di Android atau Find Hub, serta mendorong penggunaan verifikasi dua langkah atau kunci sandi.
• Kepolisian Korea Selatan sedang menyelidiki, sementara tim keamanan menyarankan perlindungan identitas yang lebih kuat, pengamanan perangkat, dan verifikasi cermat atas berkas yang diterima melalui aplikasi pesan.
• Pengguna berisiko tinggi sebaiknya mendaftar ke Advanced Protection, mengaudit perangkat yang masuk ke akun Google dan KakaoTalk, serta menyimpan cadangan luring untuk membatasi kerusakan akibat pengaturan ulang.