Peretas Korea Utara Gunakan AI dalam Serangan Phishing terhadap Militer Korea Selatan

Sentuhan AI dalam pola operasi Kimsuky yang sudah dikenal

Kelompok Kimsuky asal Korea Utara menggunakan kecerdasan buatan untuk mempercantik kampanye phishing dengan gambar kartu identitas pegawai militer Korea Selatan yang tampak meyakinkan, menurut analisis mendalam dari sebuah perusahaan keamanan siber Korea Selatan. Umpan tersebut meminta penerima meninjau contoh desain kartu identitas untuk staf sipil, permintaan yang tampak rutin di lingkungan birokrasi pertahanan. Gambar yang dilampirkan terlihat seperti kartu identitas resmi, tetapi penyelidik mengatakan grafis itu dibuat dengan model AI generatif dan dikemas bersama malware yang dapat mengambil alih komputer korban.

Email tersebut menyamar sebagai lembaga terkait pertahanan yang bertugas menerbitkan kartu identitas. Para penyerang berusaha meyakinkan penerima dengan melampirkan gambar PNG yang menyerupai rancangan kartu identitas. Dalam rangkaian pengiriman yang sama, terdapat file tersembunyi yang mengaktifkan pintu belakang setelah target berinteraksi dengan konten tersebut. Gambar itu kemungkinan dibuat dengan meminta sistem AI komersial menghasilkan rancangan contoh untuk keperluan pengujian, bukan kredensial sungguhan, sebuah teknik yang dapat mengelabui mekanisme pengaman otomatis.

Alamat pengirim juga meniru domain militer tepercaya. Penyelidik mengamati domain palsu seperti .mli.kr, yang menyerupai akhiran pertahanan resmi Korea Selatan, .mil.kr, untuk mengelabui penerima yang mencari petunjuk yang familier. Perubahan kecil semacam ini merupakan taktik rekayasa sosial yang umum dan sulit disadari saat seseorang memindai kotak masuk yang padat.

Kampanye yang pertama kali terdeteksi pada pertengahan Juli ini berlangsung setelah aktivitas sebelumnya, ketika kelompok yang sama menggunakan umpan bergaya ClickFix dan mengirimkan keluarga malware yang sama. Pengetahuan yang diperoleh dari operasi tersebut tampaknya digunakan kembali, kali ini dipadukan dengan grafis buatan AI untuk membuat cerita itu lebih meyakinkan. Targetnya mencakup organisasi terkait militer serta peneliti, jurnalis, dan aktivis yang berfokus pada Korea Utara.

Bagaimana skema phishing ini bekerja

Pancingannya sederhana. Penerima mendapat pesan yang meminta mereka meninjau contoh desain kartu identitas dengan cepat. Arsip ZIP atau tautan unduhan mengirimkan gambar dan satu atau beberapa skrip. Setelah dibuka, rangkaian tersebut menjalankan kode yang menghubungkan komputer ke infrastruktur penyerang, mengunduh komponen tambahan, dan membuat akses kendali jarak jauh. Gambar itu membantu membuat permintaan tersebut tampak seperti peninjauan desain yang tidak berbahaya.

Melewati pengamanan AI dengan injeksi prompt

Sebagian besar perangkat AI arus utama menolak membuat kartu identitas yang diterbitkan pemerintah karena menyalin dokumen semacam itu melanggar hukum dan mempermudah penipuan. Dalam kasus ini, para penyerang tampaknya membingkai prompt mereka sebagai contoh desain untuk rancangan internal. Pendekatan itu dapat membuat model menafsirkan permintaan tersebut sebagai sesuatu yang tidak berbahaya. Ini merupakan bentuk injeksi prompt atau jailbreak, ketika pengguna mengarahkan model agar mengakali aturannya dengan merancang bahasa yang membingkai ulang maksud permintaan.

Analis yang memeriksa salah satu gambar palsu melaporkan bahwa detektor deepfake menandainya dengan probabilitas 98 persen sebagai gambar buatan AI. Dalam setidaknya satu contoh, metadata gambar mencantumkan GPT 4o dan ChatGPT, yang mengindikasikan bahwa alur kerja pembuatan gambar OpenAI digunakan selama pengujian atau produksi. Semakin gambar itu tampak seperti rancangan kartu identitas biasa, semakin besar kemungkinan staf yang terburu-buru menganggap permintaan tersebut sah.

Pengiriman malware dan rangkaian penyusupan

Paket pengiriman malware bervariasi. Dalam satu kasus yang diamati, sebuah file ZIP berisi pintasan yang disamarkan agar terlihat seperti dokumen biasa. Saat dijalankan, pintasan itu menjalankan perintah PowerShell yang menghubungi server jarak jauh, mengambil pintu belakang, dan mengunduh gambar PNG umpan berupa kartu identitas. Dalam kasus lain, file batch bernama LhUdPC3G.bat dijalankan bersama gambar dan memulai aktivitas berbahaya, termasuk mempertahankan akses serta memungkinkan pencurian data dan kendali jarak jauh.

Email ini merupakan serangan spear phishing, dan para operatornya memperhatikan detail. Beberapa arsip dipersonalisasi dengan nama asli penerima yang sebagian disamarkan untuk meningkatkan kepercayaan dan mendorong target membuka lampiran. Gambar kartu identitas palsu, jenis permintaan yang familier, dan domain pengirim yang hampir sama dengan aslinya berpadu untuk membuat penerima mengabaikan kecurigaan mereka.

Siapa yang menjadi target Kimsuky, dan mengapa

Selama bertahun-tahun, badan pemerintah dan peneliti swasta melacak Kimsuky sebagai unit pengumpul intelijen Korea Utara. Kelompok ini dinilai mengumpulkan informasi kebijakan, militer, dan teknologi yang sejalan dengan prioritas negara. Korbannya kerap mencakup lembaga pemerintah, institusi terkait pertahanan, lembaga kajian, peneliti akademis, jurnalis, dan organisasi hak asasi manusia yang berfokus pada Korea Utara.

Pada Juni, para peneliti mendokumentasikan email bertema ClickFix yang mendorong pengguna menekan tombol untuk mengatasi masalah yang diklaim terjadi. Kampanye Juli menggunakan kembali malware yang sama dan banyak teknik serupa, lalu menambahkan contoh desain buatan AI untuk memperkuat umpan. Ini bukan serangan massal. Operasi tersebut dilakukan dengan cermat dan terarah untuk mendapatkan akses ke jaringan dan kotak masuk tertentu.

Atribusi didasarkan pada perpaduan bukti teknis dan kontekstual, termasuk kesamaan kode malware, penggunaan kembali infrastruktur, pola bahasa, dan pemilihan target. Indikator-indikator ini selaras dengan aktivitas yang sebelumnya dikaitkan dengan Kimsuky. Metode ini konsisten dengan misi jangka panjang untuk menyusup ke lingkungan kebijakan, mengumpulkan data, dan mempertahankan pijakan di institusi yang mengamati Korea Utara secara saksama.

Menyamar sebagai unit penerbit kartu identitas memanfaatkan proses kerja yang sudah dikenal. Dokumen identitas biasanya ditinjau bersama, sering kali melibatkan pembahasan bolak-balik tentang jenis huruf, foto, dan tata letak, serta memiliki kesan berwibawa. Karena itu, permintaan untuk memeriksa contoh desain terasa biasa saja.

Pola penyalahgunaan AI oleh operator Korea Utara kian meluas

Operasi phishing ini merupakan bagian dari pola yang lebih luas. Pada Agustus, sebuah pengembang AI besar melaporkan telah mengganggu operasi yang dilakukan operator Korea Utara. Mereka menggunakan modelnya untuk membuat identitas palsu, melamar pekerjaan jarak jauh di perusahaan teknologi Amerika Serikat, bahkan menyelesaikan pekerjaan teknis setelah diterima. Laporan yang sama menjelaskan bahwa akun-akun yang terkait dengan aktivitas tersebut diblokir dan perusahaan itu memperbarui sistem deteksinya untuk mengantisipasi penyalahgunaan.

Taklimat keamanan di Korea Selatan dan Amerika Serikat memperingatkan bahwa pelaku Korea Utara menggunakan perangkat AI untuk menulis email yang lancar, menyusun resume dan surat lamaran, membuat draf kode, serta menciptakan persona dengan foto profil profesional. Kemampuan ini memungkinkan operator kecil bekerja dengan hasil yang tampak seperti buatan tim jauh lebih besar. Hambatan untuk memulai pun menurun. Kini, seseorang dengan keterampilan teknis terbatas dapat mengandalkan AI untuk mendapatkan panduan, menyusun modul malware dengan lebih cepat, menerjemahkan konten ke dalam bahasa Korea atau Inggris yang terdengar alami, serta membuat aset visual yang lolos dari pemeriksaan sekilas.

Analis konflik digital di Semenanjung Korea mencatat lonjakan serangan terhadap institusi Korea Selatan. Sumber publik pada 2023 menyebut adanya jutaan percobaan serangan setiap hari terhadap sistem pemerintah, yang banyak di antaranya ditelusuri ke aktivitas Korea Utara. Laporan terpisah dari Perserikatan Bangsa-Bangsa dan riset industri mengaitkan unit-unit Korea Utara dengan pencurian mata uang kripto berskala besar untuk mendanai program strategis. Insiden spear phishing, penipuan lamaran kerja berbantuan AI, dan pencurian finansial merupakan bagian dari strategi yang sama untuk mengumpulkan intelijen dan menghasilkan pendapatan meski dikenai sanksi.

Operator yang berbasis di China dan pelaku lain yang terkait dengan negara juga bereksperimen dengan AI generatif. Namun, fokus di sini adalah adopsi cepat teknologi tersebut oleh unit-unit Korea Utara untuk spionase dan pendanaan ilegal. Batas antara perangkat phishing dan studio pembuatan konten berbantuan AI semakin kabur. Hal yang sebelumnya membutuhkan tim desainer, penerjemah, dan pengembang kini dapat dirakit dengan prompt dan sejumlah kecil perangkat sumber terbuka.

Mengapa AI membuat rekayasa sosial lebih meyakinkan

AI generatif unggul dalam menghasilkan konten yang rapi sesuai permintaan. Dalam konteks phishing, gambar, teks, dan kode dapat disesuaikan untuk target tertentu dengan upaya minimal. Rancangan kartu identitas yang meyakinkan atau kop surat berlogo membuat pembaca lengah. Model yang mampu menulis dalam bahasa Korea birokratis yang formal, menyisipkan akronim yang tepat, dan mempertahankan nada hormat dapat menghasilkan pesan yang tampak dan terasa autentik.

Model bahasa juga berfungsi sebagai asisten penulisan yang tak kenal lelah. Model ini memperbaiki tata bahasa, menyesuaikan gaya dengan institusi, dan menjaga konsistensi nada di beberapa email. Penyerang dapat meminta variasi pesan yang sama untuk peran berbeda. Model dapat menghasilkan satu draf yang tampak seperti pemberitahuan rutin untuk manajer SDM dan satu lagi yang terbaca seperti memo teknis untuk pimpinan TI.

Dari sisi teknis, asisten penulisan kode membantu operator yang kurang berpengalaman merangkai skrip dan muatan. Model dapat menjelaskan kesalahan, menyarankan perbaikan, dan menghasilkan contoh yang bisa dijalankan. Jika disalahgunakan, kemampuan ini mempercepat pekerjaan dan mengurangi hambatan dalam pengembangan malware. Jika dipadukan dengan pembuatan dan penerjemahan teks, satu operator dapat menjalankan kampanye multibahasa yang beberapa tahun lalu membutuhkan sebuah tim.

Pembuatan identitas adalah pilar lainnya. Model dapat membantu mereka-reka riwayat kerja, membuat resume dengan format tertentu, dan menyusun surat lamaran yang sesuai dengan lowongan. Perangkat gambar dapat menghasilkan foto profil yang lolos dari pemeriksaan sekilas. Secara keseluruhan, kemampuan ini mempermudah penipuan email bisnis dan penyusupan jangka panjang, setidaknya hingga pertahanan manusia dan teknis mampu mengejar ketertinggalan.

Respons pertahanan, deteksi, dan kebijakan

Korea Selatan telah memperbarui Strategi Keamanan Siber Nasional dengan menekankan kerja sama internasional, adopsi teknologi canggih, dan penguatan pertahanan. Rencana itu menyoroti deteksi berbasis AI untuk pemantauan waktu nyata, peningkatan berbagi informasi dengan mitra, dan penguatan ketahanan di seluruh infrastruktur kritis. Seoul juga mengupayakan koordinasi yang lebih erat dengan Amerika Serikat dan Jepang untuk menyelaraskan kebijakan serta mengadakan latihan bersama yang berfokus pada respons insiden.

Organisasi dapat meredam serangan yang memanfaatkan domain tiruan dan gambar deepfake melalui kombinasi prosedur, pelatihan, dan teknologi. Prosedur dimulai dengan verifikasi. Permintaan yang menyangkut kredensial atau dokumen identitas harus mengikuti alur kerja terdokumentasi, termasuk menghubungi pejabat yang dikenal melalui saluran lain. Staf perlu dilatih untuk memeriksa domain huruf demi huruf dan mengarahkan kursor ke tautan sebelum mengekliknya.

Kontrol teknis membantu mencegah eksekusi. Gerbang email sebaiknya mengarantina pesan yang memuat arsip berlapis dan memblokir jenis lampiran berisiko seperti file pintasan, citra ISO, dan skrip. Nonaktifkan atau batasi PowerShell jika memungkinkan, dan gunakan daftar aplikasi yang diizinkan untuk mencegah file yang tidak disetujui dijalankan. Sistem deteksi dan respons endpoint dapat mendeteksi pemanggilan PowerShell berbahaya dan koneksi keluar yang tidak biasa. Pemantauan jaringan dapat memberi peringatan tentang koneksi baru ke domain yang tidak dikenal segera setelah interaksi dengan email.

Pemeriksaan calon pegawai dan vendor semakin menjadi bagian penting pertahanan siber. Proses perekrutan jarak jauh harus mencakup pemeriksaan identitas yang ketat melalui video langsung, verifikasi oleh pihak ketiga tepercaya, dan validasi referensi secara independen. Sistem yang menangani data sensitif harus menerapkan akses dengan hak minimum dan verifikasi berkelanjutan. Audit rutin dapat menemukan anomali seperti lokasi masuk yang tidak biasa dan aktivitas di luar jam kerja yang wajar.

Rambu hukum dan etika bagi AI

Insiden ini menyoroti dilema dalam adopsi AI. Perusahaan mendapat manfaat ketika karyawan dapat menggunakan AI untuk menyusun dokumen, menulis kode, dan mengolah gambar. Namun, aksesibilitas yang sama dapat disalahgunakan oleh pihak lawan. Pengembang AI telah memperkenalkan sistem pengamanan yang menolak konten berbahaya dan memantau penyalahgunaan, tetapi penyerang berusaha melewati langkah-langkah itu dengan prompt yang licik. Komunitas pertahanan merespons dengan berbagi indikator penyalahgunaan, menghapus akun yang melanggar, dan menyempurnakan perilaku model agar tahan terhadap manipulasi.

Pilihan kebijakan dan pengadaan juga penting. Lembaga dan kontraktor sebaiknya mewajibkan pemasok sistem AI menyediakan log audit, saluran pelaporan penyalahgunaan, dan pembaruan untuk memperkuat model. Aturan perusahaan yang jelas tentang penggunaan AI dapat mencegah pembuatan konten berisiko secara tidak sengaja. Tim keamanan perlu menguji model terhadap prompt jailbreak yang umum serta menyediakan alternatif yang aman dan alur kerja yang telah disetujui sebelumnya untuk kebutuhan bisnis seperti desain dokumen atau peninjauan kode.

Hal yang Perlu Diketahui

• Kimsuky menggunakan gambar kartu identitas militer Korea Selatan buatan AI sebagai umpan dalam kampanye spear phishing pada Juli.
• Email tersebut meminta penerima meninjau contoh desain kartu identitas dan berasal dari domain yang meniru akhiran resmi .mil.kr dengan .mli.kr.
• Penyelidik menemukan metadata yang merujuk pada GPT 4o dan ChatGPT di setidaknya satu gambar, sementara sebuah detektor menilai gambar palsu memiliki probabilitas 98 persen dibuat dengan AI.
• Rangkaian pengiriman mencakup arsip ZIP dan skrip yang menjalankan perintah PowerShell, memasang pintu belakang, dan mengunduh PNG umpan.
• Targetnya mencakup organisasi terkait militer, peneliti, jurnalis, dan aktivis hak asasi manusia yang berfokus pada Korea Utara.
• Kampanye tersebut menggunakan kembali malware yang terlihat dalam aktivitas bertema ClickFix pada Juni dan dikaitkan dengan kelompok yang sama.
• Menurut laporan terbaru dari penyedia AI besar, operator Korea Utara juga menggunakan perangkat AI untuk membuat identitas palsu dan mendapatkan pekerjaan jarak jauh.
• Pertahanan mencakup verifikasi ketat atas permintaan terkait identitas, kontrol email dan endpoint yang memblokir jenis file serta skrip berisiko, dan pemeriksaan ketat dalam perekrutan jarak jauh.