Sebuah kelompok peretas (hackers) yang terafiliasi dengan Korea Utara ditemukan telah melancarkan kampanye spionase siber selama berbulan-bulan yang menargetkan berbagai kedutaan asing di Seoul, Korea Selatan. Menurut para peneliti, kelompok ini berhasil menyamarkan serangannya sebagai korespondensi diplomatik rutin untuk mengelabui targetnya.

Operasi ini, yang telah aktif sejak bulan Maret dan diyakini masih berlangsung, diatributkan kepada kelompok Korea Utara yang dikenal sebagai Kimsuky atau APT43. Berdasarkan laporan yang dipublikasikan minggu ini oleh firma keamanan siber Trellix, setidaknya 19 kedutaan dan kementerian luar negeri telah menjadi sasaran dalam kampanye ini.

Analisis Taktik, Teknik, dan Prosedur (TTP)

Keberhasilan kampanye ini sangat bergantung pada metode social engineering yang canggih dan penggunaan malware yang mampu memberikan kontrol penuh kepada penyerang atas sistem yang terinfeksi.

Vektor Serangan: Spear-Phishing yang Canggih

Para penyerang menyamar sebagai diplomat dan pejabat asing, mengirimkan email yang tampak berisi notulensi rapat, surat dari duta besar, atau undangan acara resmi.

“Konten spear-phishing tersebut dirancang dengan sangat teliti untuk meniru korespondensi diplomatik yang sah. Banyak email menyertakan tanda tangan resmi, terminologi diplomatik, dan referensi ke acara-acara nyata,” ungkap para peneliti. “Ketepatan waktu dan konteks seperti itu secara signifikan meningkatkan kemungkinan target akan membuka lampiran berbahaya.”

Salah satu contoh email phishing meniru seorang petugas protokoler Kedutaan Besar AS dengan undangan ke acara Hari Kemerdekaan. Contoh lainnya memalsukan identitas diplomat Eropa atau mempromosikan forum internasional. Trellix mengidentifikasi dokumen umpan (decoy documents) yang dibuat dalam berbagai bahasa, termasuk Korea, Inggris, Persia, Arab, Prancis, dan Rusia.

Payload dan Malware

Lampiran berbahaya disamarkan sebagai file PDF di dalam file ZIP yang dilindungi password. Ketika dibuka, lampiran tersebut akan menyebarkan varian dari XenoRAT, sebuah remote access trojan, yang memberikan peretas kontrol penuh atas sistem yang terinfeksi.

Kemampuan Malware XenoRAT

XenoRAT adalah malware berbasis open-source yang memiliki fitur-fitur canggih, meliputi:

• Kontrol jarak jauh (remote control) atas sistem korban.
• Pencatatan ketikan keyboard (keystroke logging).
• Akses penuh ke webcam dan mikrofon perangkat.

Eksfiltrasi Data dan Infrastruktur Serangan

Setelah terpasang di perangkat korban, malware akan mengumpulkan informasi detail tentang sistem dan melakukan eksfiltrasi data melalui platform pengembang GitHub untuk menghindari deteksi. Para penyerang juga mengandalkan layanan cloud populer seperti Dropbox, Google Drive, dan layanan asal Korea seperti Daum untuk menyimpan file berbahaya mereka.

Atribusi dan Keterkaitan dengan Tiongkok

Meskipun kampanye ini diatribusikan kepada peretas yang didukung Pyongyang, laporan Trellix menunjukkan kemungkinan adanya keterkaitan dengan Tiongkok.

Jejak Operasional yang Janggal

Aktivitas peretas terdeteksi sangat selaras dengan jam kerja di Tiongkok dan berhenti selama hari libur nasional Tiongkok. Sebaliknya, aktivitas tersebut tidak berhenti selama hari libur nasional Korea Utara maupun Korea Selatan.

Hipotesis Peneliti

Pola-pola ini menimbulkan kemungkinan bahwa kelompok tersebut beroperasi dari wilayah Tiongkok atau bergantung pada kontraktor asal Tiongkok untuk menjalankan operasinya. Temuan ini mendukung pandangan bahwa meskipun kampanye tersebut terkait dengan Kimsuky, para operatornya mungkin berbasis di Tiongkok atau secara budaya adalah orang Tiongkok.

Profil Kelompok Peretas Kimsuky (APT43)

Kimsuky telah aktif setidaknya sejak tahun 2012, menargetkan pemerintah, lembaga riset (think tanks), akademisi, dan organisasi media di seluruh Asia, Eropa, Jepang, Rusia, dan Amerika Serikat. Pada tahun 2023, Washington dan sekutu Pasifiknya menjatuhkan sanksi terhadap kelompok ini, menuduh mereka mengumpulkan intelijen untuk mendukung kebijakan luar negeri dan upaya penghindaran sanksi Korea Utara.

Pejabat AS sebelumnya telah menyatakan bahwa unit siber Korea Utara sering beroperasi di luar negeri, termasuk dari Tiongkok dan Rusia, untuk menghindari sanksi internasional.

Kesimpulan

Kampanye spionase oleh kelompok Kimsuky terhadap kedutaan asing di Seoul menunjukkan tingkat kecanggihan yang terus berevolusi dari aktor ancaman yang disponsori negara (state-sponsored actors). Dengan memanfaatkan teknik spear-phishing yang sangat personal dan relevan secara kontekstual, mereka berhasil menembus pertahanan target bernilai tinggi. Temuan menarik mengenai pola operasional yang mengarah ke Tiongkok menambah kompleksitas dalam atribusi serangan siber dan menyoroti sifat global dari operasi siber modern. Penggunaan platform publik seperti GitHub dan Dropbox untuk operasi jahat juga menegaskan kembali tantangan bagi tim keamanan dalam mendeteksi aktivitas berbahaya yang bersembunyi di lalu lintas jaringan yang sah.

Poin Kunci Pembelajaran

• Social Engineering Tetap Menjadi Vektor Utama: Serangan ini membuktikan bahwa rekayasa sosial yang dirancang dengan baik, yang meniru komunikasi sah, tetap menjadi salah satu metode paling efektif untuk menembus organisasi yang paling waspada sekalipun.
• Penggunaan Layanan Publik untuk Aktivitas Jahat: Aktor Advanced Persistent Threat (APT) semakin sering memanfaatkan layanan cloud dan platform pengembang yang sah (GitHub, Dropbox, Google Drive) untuk hosting malware dan eksfiltrasi data, membuatnya sulit dideteksi oleh sistem keamanan tradisional.
• Kompleksitas Atribusi Geopolitik: Atribusi serangan tidak selalu hitam-putih. Keterkaitan operasional antara kelompok Korea Utara (Kimsuky) dengan pola kerja di Tiongkok menunjukkan bahwa operasi siber bisa melibatkan kolaborasi lintas batas atau penggunaan proksi.
• Ancaman Konstan dari Advanced Persistent Threat (APT): Kelompok seperti Kimsuky tidak berhenti beroperasi. Mereka terus-menerus memperbarui taktik, menargetkan korban baru, dan beradaptasi untuk mencapai tujuan strategis negara mereka, mengharuskan adanya kewaspadaan dan pertahanan yang berkelanjutan.

Sumber

Informasi dalam artikel ini diadaptasi dan dianalisis berdasarkan laporan riset yang dipublikasikan oleh firma keamanan siber Trellix pada Agustus 2025. Laporan tersebut mendokumentasikan kampanye spionase yang dilakukan oleh kelompok Kimsuky terhadap entitas diplomatik di Korea Selatan.