JAVASCORNER.CO.ID, JAKARTA - Kelompok peretas negara Korea Utara, Kimsuky, dilaporkan telah membangun tumpukan kecerdasan buatan (AI) secara offline untuk meningkatkan serangan phishing dan mengotomatiskan pengembangan malware. Temuan ini diungkap oleh perusahaan keamanan asal Korea Selatan, Genians, setelah melakukan pelacakan dan analisis log pada infrastruktur yang terkait dengan unit peretasan di bawah Biro Intelijen Umum Korea Utara tersebut.
Latar Belakang
Kimsuky dikenal sebagai kelompok mata-mata yang telah lama melakukan serangan phishing terhadap pemerintah, lembaga penelitian, dan target strategis lainnya. Selama ini, mereka mengandalkan metode konvensional, seperti email phishing dengan umpan yang sering kali memiliki kelemahan dalam terjemahan atau format. Namun, dengan adanya AI, mereka berpotensi menciptakan serangan yang lebih meyakinkan dan sulit dideteksi.
Laporan Genians menyebutkan bahwa Kimsuky berada pada tahap "penelitian dan akuisisi pengetahuan", di mana mereka merakit dan menguji alat-alat AI yang sudah ada, bukan menciptakan model baru. Tujuan utamanya adalah mengintegrasikan AI ke dalam operasi mereka, mulai dari menulis malware hingga menganalisis data.
Temuan Utama
Genians menemukan sejumlah alat AI yang dijalankan atau dikonfigurasi pada infrastruktur milik kelompok tersebut, termasuk Ollama, GPT4All, dan Msty. Ketiganya adalah alat untuk menjalankan model bahasa secara offline. Lebih mencurigakan lagi, GPT4All membawa basis data localdocs_v3.db yang telah dikonfigurasi, yang digunakan untuk fitur pembuatan dokumen lokal yang diperluas (RAG).
RAG memungkinkan model AI untuk menjawab pertanyaan berdasarkan koleksi dokumen pribadi. Ini menjadi bukti bahwa Kimsuky mencoba menghubungkan dokumen yang mereka miliki dengan sistem AI, meskipun tidak dapat dipastikan apakah dokumen tersebut dicuri.
Selain itu, peneliti menemukan permintaan operator untuk menganalisis kumpulan data terkait detail dompet, kredensial Gmail, dan riwayat pendaftaran situs, dengan instruksi: "Semakin detail analisisnya, semakin baik. Mohon jangan melakukannya secara sembarangan." Laporan tidak dapat mengonfirmasi apakah permintaan ini diajukan ke layanan AI tertentu.
Alat dan Pustaka Pengembang
Kelompok ini juga tidak berhenti pada aplikasi siap pakai. Mereka mengumpulkan pustaka pengembang seperti LLaMaSharp, Semantic Kernel milik Microsoft, dan Microsoft.Agents.AI, yang digunakan untuk membangun fungsi AI ke dalam perangkat lunak C# dan .NET kustom. Selain itu, ditemukan juga file pengubah suara menjadi teks Whisper dari OpenAI beserta panduan penggunaannya, serta jejak aktif Cursor, editor kode bertenaga AI.
Implikasi Keamanan
Langkah Kimsuky ini menandakan pergeseran signifikan dalam taktik peretasan. Dengan AI yang berjalan offline, mereka dapat mengotomatiskan pembuatan umpan phishing yang lebih personal dan meyakinkan, serta mempercepat pengembangan malware. Hal ini akan membuat serangan mereka lebih sulit dideteksi oleh sistem keamanan yang mengandalkan pola-pola lama.
"Begitu AI menulis umpan, petunjuk yang sebelumnya diandalkan oleh pihak bertahan melemah: terjemahan yang kaku, format yang canggung, kesalahan ejaan. Yang perlu diperhatikan adalah apa yang dilakukan intrusi pada mesin," demikian kutipan dari laporan Genians.
Aktivitas ini merupakan perluasan dari kampanye Kimsuky yang disebut Genians sebagai Operasi GitPower, yang menyalahgunakan repositori GitHub sebagai saluran perintah dalam rantai infeksi LNK-ke-PowerShell dan telah mendistribusikan muatan AsyncRAT terenkripsi yang disamarkan sebagai file gambar. Fortinet juga mendokumentasikan pola GitHub-C2 yang lebih luas pada bulan April dalam serangan yang menargetkan pengguna Korea Selatan.
Rekomendasi untuk Pertahanan
Genians menyarankan para pembela untuk mengkorelasikan eksekusi LNK, PowerShell, tugas terjadwal tersembunyi, lalu lintas GitHub, dan aktivitas muatan selanjutnya, alih-alih menilai umpan phishing terutama berdasarkan seberapa rapi tampilannya. Ini berarti fokus deteksi harus bergeser dari analisis konten ke analisis perilaku.
Meskipun tumpukan AI offline yang baru diamati belum menunjukkan bukti digunakan dalam serangan terhadap korban, keberadaan alat-alat tersebut menunjukkan bahwa Kimsuky sedang mempersiapkan diri untuk mengintegrasikan AI secara lebih dalam ke dalam alur kerja serangan mereka. Ini adalah ancaman yang harus diantisipasi oleh para profesional keamanan siber di seluruh dunia.
Departemen Keuangan AS, yang memberikan sanksi kepada Kimsuky pada tahun 2023, menggambarkannya sebagai bawahan Biro Pengintaian Umum dan terutama berfokus pada pengumpulan intelijen. Langkah ini juga sesuai dengan pola yang diungkap Genians pada tahun 2025, ketika mereka mengaitkan Kimsuky dengan serangan spear-phishing yang menggunakan gambar kartu identitas karyawan militer Korea Selatan yang dihasilkan oleh ChatGPT.
Dengan meningkatnya penggunaan AI oleh aktor negara, penting bagi organisasi untuk terus memperbarui strategi pertahanan mereka dan berinvestasi dalam teknologi yang dapat mendeteksi anomali perilaku, bukan hanya mengandalkan indikator kompromi tradisional.
