Bagaimana taktik pencurian kredensial Korea Utara terungkap lewat dump 'Kim'

• Baru-baru ini, insiden dump 'Kim' mengungkap metode pencurian kredensial yang digunakan Korea Utara
• Peretas Korea Utara secara aktif memanfaatkan situs phishing dan teknik social engineering
• Mereka menjadikan negara-negara Barat dan perusahaan IT sebagai target utama
• Metode serangannya terutama berkaitan dengan pencurian informasi akun email
• Pengungkapan ini meningkatkan kewaspadaan keamanan di berbagai perusahaan, termasuk di AS

---

Ringkasan insiden dump “Kim”

• Insiden dump 'Kim' yang terjadi baru-baru ini mengungkap bahwa Korea Utara secara terencana menjalankan aktivitas pencurian kredensial skala besar
• Dump data tersebut dibagikan di berbagai platform IT dan komunitas, sehingga metode serangan yang lebih rinci ikut terungkap

Metode peretasan utama Korea Utara

• Kelompok peretas Korea Utara mengumpulkan informasi login pengguna melalui email phishing dan situs web tiruan
• Situs phishing ini dibuat sangat mirip dengan situs asli, sehingga ketika korban memasukkan informasi akun mereka, data tersebut otomatis dicuri
• Teknik social engineering juga digunakan secara aktif untuk mengeksploitasi kelemahan psikologis pengguna

Target dan tujuan serangan

• Target utamanya adalah perusahaan IT di blok Barat seperti di AS dan Eropa, serta organisasi terkait keamanan
• Di dalam organisasi, personel dengan hak akses tinggi seperti staf HR, developer, dan administrator sistem menjadi sasaran utama
• Melalui kredensial yang dicuri, mereka bertujuan memperoleh akses ke informasi internal dan membuka jalur untuk serangan lanjutan

Makna keamanan dan dampaknya

• Melalui dump 'Kim', kita dapat melihat pola evolusi taktis serta metode serangan nyata Korea Utara
• Di industri IT global, diskusi mengenai penguatan kewaspadaan keamanan dan penataan ulang kebijakan pengelolaan kredensial semakin aktif
• Perusahaan dan lembaga terkait mulai memperkuat pemantauan real-time serta pelatihan respons terhadap phishing

Kesimpulan dan tantangan ke depan

• Aktivitas kelompok peretas Korea Utara terus berevolusi, dan metode yang lebih canggih terus bermunculan
• Diperlukan peningkatan kesadaran keamanan bagi pekerja industri IT dan organisasi secara keseluruhan, serta pembangunan sistem respons berlapis

[GN⁺]

Komentar Hacker News

• Saya rasa para peretas yang bertanggung jawab atas kebocoran ini adalah orang-orang ini; lihat artikel terkait di phrack.org

  • Terlihat sudut pandang elitis klasik ala hacker seperti, "Saya seorang hacker, dan saya adalah kebalikan dari kalian. Di dunia saya, semua orang setara. Kami tidak punya warna kulit, kewarganegaraan, tujuan politik, dan bukan budak siapa pun." Namun ruang yang katanya "semua orang setara" seperti ini sebenarnya adalah ilusi yang hanya benar-benar bekerja untuk tipe orang tertentu

• Hal yang menarik dari kasus ini adalah adanya keterkaitan antara DPRK (Korea Utara) dan PRC (Tiongkok). Sulit mengetahui seberapa dalam koordinasi di antara keduanya, tetapi jelas mereka tidak sepenuhnya independen. Saya penasaran apakah penunjukan terbuka seperti ini akan membuat PRC lebih sulit menyangkal keterlibatannya dengan DPRK maupun operasi-operasinya sendiri

  • Bahkan jika Beijing tidak senang dengan tindakan Pyongyang, Korea Utara terlalu penting secara strategis bagi Tiongkok, sehingga kecil kemungkinan dukungan Tiongkok akan goyah atau mereka akan berusaha keras menyembunyikannya
  • Untuk saat ini, tampaknya belum ada bukti pasti yang tak terbantahkan yang membuat PRC mustahil menyangkal keterlibatannya
  • Bahwa Tiongkok mendukung Korea Utara bukan lagi rahasia, dan ini kurang lebih setara dengan dukungan AS kepada Korea Selatan. Jika melihat posisi geopolitiknya, Tiongkok bahkan punya alasan yang lebih besar. Untuk memahami konteks ini, Monroe Doctrine layak dijadikan rujukan. Krisis Misil Kuba juga sebenarnya lebih tepat dilihat sebagai Turkey Missile Crisis. Setelah AS menempatkan misil nuklir Jupiter di Turki, Uni Soviet menempatkan sistem tandingan di Kuba. Dunia nyaris masuk ke perang dunia, tetapi pada akhirnya Soviet mundur, dan misil di Turki juga ditarik secara diam-diam Monroe Doctrine, info misil Jupiter
  • Di komunitas infosec, kaitan Tiongkok-Korea Utara adalah fakta yang sudah dikenal luas. Tiongkok adalah negara pertama di dunia yang secara resmi membentuk unit siber militer. Korea Utara kemudian mengikuti dengan motif mencari uang, bahkan memperoleh properti seperti hotel di daratan Tiongkok untuk dipakai sebagai basis operasi. Tiongkok juga pada praktiknya berperan sebagai semacam ‘laundromat’ yang menerima dolar dalam perdagangan dengan Korea Utara lalu menyediakan pasokan

• Disebutkan bahwa data yang bocor menggunakan repositori GitHub untuk tool serangan seperti TitanLdr, minbeacon, Blacklotus, dan CobaltStrike-Auto-Keystore. Saya penasaran mengapa GitHub mengizinkan pengembangan tool serangan seperti ini. Apakah semata masalah kebebasan berekspresi, atau karena tool semacam ini juga punya nilai akademis

  • Tool semacam ini sering dipakai dalam penetration testing dan pekerjaan red team. Pelarangan publik justru hanya membuat pihak bertahan tidak mengetahui metode penyerang, sementara tidak benar-benar menghambat peretas yang memang berniat jahat. Ini adalah kesimpulan yang sudah berulang kali dibahas sejak era 90-an hingga 2000-an
  • Ini adalah tool yang terutama digunakan oleh peneliti keamanan dan pentester
  • Kalau begitu, saya penasaran apa alternatifnya
  • Bukankah GitHub seharusnya memblokir negara yang terkena sanksi seperti Iran atau Korea Utara? Lihat kebijakan resminya

• Saya pernah mendengar bahwa di Korea Utara, orang biasa sulit belajar atau memiliki komputer. Katanya hanya segelintir elite yang dipilih dan dilatih, jadi cukup mengejutkan bahwa mereka bisa memperoleh teknologi terbaru dan melakukan peretasan seperti ini

  • Peretas Korea Utara mungkin termasuk yang terbaik di dunia. Jika pemerintah menyeleksi siswa sejak dini dan memberi pendidikan intensif, hal itu sangat mungkin. Di negara-negara Barat, pendidikan lebih umum dan bahkan pendidikan universitas berbeda dari pekerjaan hacker yang sebenarnya. Hacker Barat berusia 22 tahun mungkin hanya punya pengalaman magang 6 bulan, sementara hacker Korea Utara pada usia itu bisa saja sudah mengumpulkan pengalaman bertahun-tahun
  • Tim Korea Utara juga mencatat hasil yang baik dalam berbagai kompetisi pemrograman, jadi tampaknya mereka memang sangat mampu membina talenta IT elit dalam jumlah kecil
  • Ada reaksi seperti ‘mengejutkan mereka meretas dengan teknologi terbaru’, tetapi sebenarnya tidak sulit memilih talenta, dan jika talenta seperti itu diberi motivasi serta kondisi terbaik, wajar saja jika hasilnya adalah hacker yang sangat mampu

• Dataset bocor yang dikaitkan dengan operator bernama "Kim" ini menunjukkan secara konkret seperti apa operasi siber Korea Utara. Namun sulit dipahami mengapa para peretas Korea Utara meninggalkan jejak begitu saja. Aneh rasanya mereka meninggalkan remah-remah jejak yang mengarah sampai ke Pyongyang, alih-alih jejak pengalihan yang lebih canggih

• Isu ini punya banyak sisi yang menarik secara teknis. Sebagian infrastrukturnya memakai tool yang juga digunakan pentester atau personel keamanan lain, dan dari sini terlihat bahwa tidak ada yang namanya ‘senjata yang murni defensif’. Namun di sisi lain, pembahasan mudah bergeser menjadi kritik terhadap Korea Utara atau Tiongkok. Untuk menunjukkan standar gandanya, cukup sebut kata ‘Stuxnet’ dan ‘Pegasus’

• Keterkaitan dengan Tiongkok (Option A/B) agak dibesar-besarkan. Bisa saja peretas Korea Utara beroperasi dari Tiongkok hanya karena akses internet. Korea Utara tidak punya internet publik, jadi mereka mungkin berada di Tiongkok demi bisa memakai internet, berpura-pura menjadi orang Tiongkok, atau itu sama sekali terpisah dari kemungkinan bahwa mereka dikendalikan oleh pihak Tiongkok

• Ini adalah analisis yang sangat rinci tentang workflow APT. Melihat tingkat detail seperti ini, ada risiko bahwa penyerang biasa pun bisa meniru taktik serupa untuk mencoba menyamai mereka

  • Membuka informasi memang berisiko melahirkan peniru, tetapi di sisi lain juga bisa memberi dasar penilaian bagi orang-orang yang harus menyusun strategi pertahanan untuk menghentikan penyerang seperti ini. Mencegah agar informasi hanya dimiliki satu pihak pada praktiknya mustahil