Laporan: Kimsuky dari Korea Utara Mengubah AI Menjadi Senjata Peretasan Kripto

Dalam analisis yang diterbitkan pada hari Senin, Genians Security Center menyatakan bahwa pelacakan infrastruktur yang terkait dengan Kimsuky selama berbulan-bulan telah mengungkap bukti adanya model bahasa besar lokal, kerangka kerja pengembangan AI, alat pengenalan suara, dan dokumen yang dibuat oleh AI generatif. Para peneliti menilai bahwa kelompok tersebut beroperasi di bawah Biro Pengintaian Umum Korea Utara.

Kimsuky Membangun Laboratorium AI Pribadinya Sendiri

Temuan ini melampaui bukti bahwa para peretas sesekali meminta bantuan kepada chatbot. Para peneliti menemukan jejak tiga platform AI lokal, yaitu Ollama, GPT4All, dan Msty, yang terpasang di infrastruktur yang terkait dengan pelaku ancaman tersebut. Model lokal dapat dijalankan langsung di komputer atau server alih-alih mengirimkan percakapan ke penyedia eksternal, sehingga memberikan privasi yang lebih besar bagi operator.

Genians juga menemukan bukti bahwa fitur LocalDocs dari GPT4All telah dikonfigurasi. Fitur ini menggunakan "retrieval-augmented generation" (RAG), yang memungkinkan sistem AI untuk mencari kumpulan dokumen sebelum menjawab pertanyaan. Para peneliti memperingatkan bahwa bagi para peretas, kemampuan tersebut pada akhirnya dapat mempermudah pencarian dan analisis tumpukan besar dokumen yang dicuri. Laporan Genians ini muncul tak lama setelah eksploitasi Coldcard dan eskalasi pertarungan hukum Bybit melawan Korea Utara.

Kelompok tersebut tampaknya juga sedang mengeksplorasi otomatisasi. Para penyelidik menemukan paket pengembangan AI termasuk Microsoft Semantic Kernel, Microsoft Agents AI, dan LLaMaSharp, bersama dengan komponen untuk menghubungkan program dengan layanan OpenAI dan Azure OpenAI. Para peneliti mengatakan kombinasi tersebut mengarah pada pengembangan alat khusus yang didukung AI, bukan sekadar eksperimen biasa.

AI Membuat Umpan Phishing Kimsuky Lebih Sulit Dideteksi

Sebagian dari eksperimen tersebut mungkin sudah memengaruhi serangan. Sejak 2026, para peneliti telah mengamati Kimsuky menggunakan dokumen yang dinilai dibuat dengan AI generatif sebagai umpan dalam kampanye spear phishing yang menargetkan subjek termasuk aset virtual, investasi keuangan, dan pengembangan game.

Hal ini penting karena dokumen yang dihasilkan AI dengan kualitas tinggi dapat menghilangkan beberapa tanda peringatan yang dulu diandalkan pengguna untuk mengenali phishing. Terjemahan yang canggung, kesalahan ejaan, dan format yang tidak rapi menjadi petunjuk yang kurang berguna ketika AI generatif dapat dengan cepat menghasilkan materi bisnis yang tampak profesional.

Namun, serangan yang mendasarinya tetap sama seperti sebelumnya. Korban menerima arsip ZIP yang berisi file pintasan Windows (LNK) berbahaya yang disamarkan sebagai dokumen sah. Membuka salah satunya dapat memicu perintah PowerShell tersembunyi sambil menampilkan PDF yang tampak asli, sehingga korban tidak menyadari bahwa aktivitas berbahaya sedang berjalan di latar belakang.

Kimsuky juga telah menyalahgunakan repositori Git sebagai infrastruktur komando dan kontrol. Genians menemukan muatan AsyncRAT berbahaya yang dienkripsi dan disamarkan sebagai berkas gambar dengan nama seperti "apple.png," "fox.png," dan "wolf.png." AsyncRAT adalah malware akses jarak jauh yang dapat memberikan penyerang kendali atas mesin yang disusupi.

Peneliti Menemukan Petunjuk Korea Utara dalam Log

Para penyelidik juga menemukan bukti yang menghubungkan aktivitas tersebut dengan operator asal Korea Utara. Catatan log berisi nama produsen sistem "Arirang," sebuah merek yang terkait dengan tablet dan ponsel pintar Korea Utara, bersama dengan materi berbahasa Korea dan pola linguistik yang diidentifikasi oleh para peneliti sebagai ciri khas penggunaan bahasa Korea Utara.

Dalam kasus lain, log menunjukkan pertanyaan dalam bahasa Korea mengenai cara menonaktifkan fitur pelaporan Microsoft Defender yang diterjemahkan ke dalam bahasa Inggris melalui Google Translate, lalu dikirimkan ke ChatGPT. Para peneliti juga menemukan pencarian terkait aset virtual, termasuk pertanyaan yang menanyakan di mana pengguna bitcoin dapat ditemukan.

Laporan tersebut tidak sampai menyimpulkan bahwa Kimsuky telah membangun model AI-nya sendiri. Para peneliti tidak menemukan dataset pelatihan berskala besar atau bukti adanya model yang dilatih secara mandiri. Sebaliknya, mereka menggambarkan kelompok tersebut masih belajar cara mengintegrasikan sistem AI yang sudah ada ke dalam pengembangan malware, analisis data, dan operasi serangan yang lebih luas.

Perbedaan tersebut mungkin tidak akan lama lagi menjadi hal yang meyakinkan. Genians memperingatkan bahwa penggabungan RAG dengan dokumen yang dicuri, alat pengubah ucapan menjadi teks dengan rekaman yang disadap, serta agen AI dengan lingkungan pengembangan malware Kimsuky yang sudah ada dapat mengurangi pekerjaan manusia yang diperlukan setelah terjadinya pelanggaran. Bagi para pertahanan, pertempuran berikutnya mungkin akan semakin berfokus pada mendeteksi apa yang dilakukan malware daripada menilai apakah email yang mengirimkannya terlihat mencurigakan.

Di seluruh ekosistem kripto, peretasan dan eksploitasi semakin menimbulkan kecurigaan bahwa AI membantu penyerang melakukannya.