Peneliti ENKI WhiteHat: Kelompok Kimsuky Fokus pada Keberlanjutan Akses Sistem

Peneliti dari pusat riset dan pengembangan ENKI WhiteHat memaparkan strategi kelompok peretas Kimsuky yang berafiliasi dengan Korea Utara pada konferensi KCSCON 2026. Analisis tersebut menyoroti pergeseran taktik kelompok ini dari sekadar pengiriman email phising tertarget menuju upaya mempertahankan akses jangka panjang ke dalam sistem korban.

Konferensi KCSCON 2026 yang diselenggarakan pada 8 September di Seoul dihadiri oleh sekitar 1.000 profesional keamanan siber dari berbagai sektor. Acara ini didukung oleh Kementerian Sains dan Teknologi Informasi serta Korea Internet and Security Agency. Kelompok Kimsuky, yang pertama kali diidentifikasi pada tahun 2014, secara konsisten menargetkan institusi militer, pemerintah, dan publik di Korea Selatan untuk pencurian informasi.

Metode awal serangan melibatkan penyamaran dalam alur kerja normal. Para penyerang tidak langsung mengirim file berbahaya, melainkan membangun percakapan yang tampak wajar melalui email sebelum mengirimkan file LNK yang disamarkan sebagai dokumen biasa. Taktik ini juga mencakup pembuatan halaman unduhan palsu yang menyerupai situs resmi perangkat lunak keamanan, serta halaman masuk palsu untuk layanan konferensi video yang menampilkan kesalahan kamera untuk memancing korban mengunduh skrip berbahaya.

Setelah berhasil menyusup, kelompok ini menggunakan berbagai metode untuk memastikan keberlanjutan akses. Mereka mendaftarkan tugas terjadwal Windows dan entri registri auto-run agar malware berjalan ulang saat sistem dimulai. Penyerang juga menyalahgunakan alat kontrol jarak jauh yang sah seperti Chrome Remote Desktop dan AnyDesk, dengan menyembunyikan indikatornya dari bilah tugas dan area sistem untuk menghindari deteksi. Selain itu, mereka membuat akun administrator tersembunyi dan mengizinkan port 3389 untuk protokol RDP, serta menggunakan alat proxy untuk mengakses sistem internal dari luar.

Browser juga menjadi target melalui ekstensi Chrome berbahaya yang mencuri informasi Gmail. Kode yang digunakan menunjukkan indikasi penggunaan kecerdasan buatan generatif untuk pengembangan, yang menurut peneliti dapat mempercepat modifikasi serangan dan menurunkan hambatan teknis bagi penyerang. Layanan hosting kode seperti GitHub, GitLab, dan Codeberg juga digunakan untuk menyimpan skrip berbahaya dan data yang dicuri, dengan beberapa repositori menggunakan nama file dalam bahasa Korea.

Serangan ini tidak hanya menargetkan Korea Selatan, tetapi juga Jepang dan Ukraina, dengan menggunakan dokumen keamanan dalam bahasa Korea sebagai umpan. Peneliti menekankan bahwa deteksi berbasis file berbahaya saja tidak lagi memadai. Organisasi perlu memeriksa tugas terjadwal, entri registri, instalasi alat kontrol jarak jauh, ekstensi browser yang tidak dikenal, dan akun administrator yang tidak sah untuk mengidentifikasi jejak keberlanjutan serangan.