Kimsuky Siapkan AI Offline untuk Otomatisasi Serangan Siber

Kelompok peretas yang didukung Korea Utara mulai memperluas pemanfaatan kecerdasan buatan (AI) untuk mendukung operasi siber mereka. Salah satu kelompok spionase utama, Kimsuky, diketahui sedang membangun infrastruktur AI yang dapat berjalan secara lokal atau offline, tanpa harus bergantung pada layanan chatbot AI publik.

Temuan tersebut diungkap perusahaan keamanan siber Korea Selatan, Genians, setelah melakukan pemantauan terhadap infrastruktur yang dikaitkan dengan Kimsuky selama berbulan-bulan. Dari analisis log dan berbagai artefak digital, peneliti menemukan sejumlah perangkat lunak AI, database, pustaka pemrograman, serta alat pengembangan yang menunjukkan upaya kelompok tersebut untuk memasukkan AI ke dalam alur kerja operasinya.

Kimsuky sendiri dikenal sebagai kelompok spionase siber yang dikaitkan dengan Korea Utara dan berada di bawah Reconnaissance General Bureau (RGB). Kelompok ini selama bertahun-tahun menjalankan kampanye phishing dan serangan siber yang menyasar pemerintah, lembaga penelitian, organisasi strategis, serta target lain yang memiliki informasi bernilai intelijen.

Menurut Genians, temuan terbaru tidak menunjukkan bahwa Kimsuky telah membuat atau melatih model AI sendiri. Kelompok tersebut justru tampak berada pada tahap penelitian dan pengumpulan pengetahuan dengan menggabungkan berbagai teknologi AI yang sudah tersedia.

Meski demikian, perkembangan ini tetap dinilai penting. Pasalnya, AI berpotensi digunakan untuk mempercepat sejumlah tahapan operasi siber, mulai dari menganalisis informasi, membuat konten phishing, membantu pemrograman, memproses data hingga mendukung pengembangan malware.

Bangun AI yang Berjalan Secara Lokal

Salah satu temuan paling penting Genians adalah keberadaan sejumlah perangkat lunak yang memungkinkan  large language model (LLM) dijalankan secara lokal. Di antaranya adalah Ollama, GPT4All, dan Msty.

Ketiga perangkat tersebut ditemukan pada infrastruktur yang dikaitkan dengan Kimsuky. Yang menarik, aplikasi tersebut tidak sekadar ditemukan dalam bentuk file unduhan. Peneliti menemukan tanda-tanda bahwa beberapa perangkat telah dijalankan atau dikonfigurasi.

Pada Ollama, misalnya, ditemukan kunci atau key yang biasanya dibuat ketika aplikasi pertama kali dijalankan. Sementara pada GPT4All, peneliti menemukan database bernama localdocs_v3.db.

Database tersebut berkaitan dengan fitur LocalDocs pada GPT4All yang menggunakan pendekatan retrieval-augmented generation (RAG). Teknologi RAG memungkinkan model AI mencari informasi dari kumpulan dokumen tertentu sebelum menghasilkan jawaban.

Dengan mekanisme tersebut, AI tidak hanya mengandalkan pengetahuan yang sudah tertanam dalam model. Sistem dapat mengambil informasi dari dokumen lokal yang diberikan kepada model.

Keberadaan database tersebut menunjukkan adanya upaya untuk menghubungkan dokumen yang tersedia bagi operator dengan sistem AI. Namun, Genians memberikan catatan penting bahwa temuan tersebut tidak membuktikan dokumen yang dimaksud merupakan data hasil pencurian.

Peneliti juga menemukan sebuah permintaan dari operator untuk memeriksa suatu kumpulan data. Permintaan tersebut meminta pencarian informasi seperti detail dompet digital, kredensial Gmail, dan riwayat pendaftaran situs. Instruksi yang diberikan kepada operator meminta analisis dilakukan secara rinci dan tidak sembarangan. Namun, Genians tidak dapat memastikan apakah permintaan tersebut benar-benar diproses menggunakan layanan AI.

Bukan Sekadar Menggunakan Chatbot

Temuan Genians menunjukkan bahwa aktivitas Kimsuky tidak berhenti pada penggunaan aplikasi AI siap pakai. Kelompok tersebut juga tampak menyiapkan berbagai komponen yang dapat digunakan untuk memasukkan kemampuan AI ke dalam perangkat lunak buatan sendiri.

Pada infrastruktur yang sama, peneliti menemukan library seperti LLaMaSharp, Microsoft Semantic Kernel, dan Microsoft.Agents.AI.

Berbagai komponen tersebut dapat digunakan pengembang untuk memasukkan fungsi AI ke dalam aplikasi berbasis C# dan .NET. Artinya, keberadaan komponen tersebut dapat menjadi bagian dari upaya membangun aplikasi yang mampu memanfaatkan model AI secara langsung.

Genians juga menemukan file OpenAI Whisper, teknologi pengenalan suara yang dapat mengubah audio menjadi teks. Bersama file tersebut ditemukan pula panduan mengenai cara mengekstrak teks dari audio.

Selain itu, terdapat jejak penggunaan Cursor, editor pemrograman yang memiliki kemampuan AI untuk membantu proses pengembangan perangkat lunak.

Masing-masing teknologi tersebut sebenarnya bukan sesuatu yang tergolong baru atau eksotis. Namun, perhatian peneliti tertuju pada cara berbagai teknologi itu dikumpulkan dalam satu lingkungan yang dikaitkan dengan kelompok spionase negara.

Kombinasi tersebut menunjukkan bahwa Kimsuky kemungkinan sedang mempelajari bagaimana AI dapat dimanfaatkan secara lebih luas dalam operasi siber, bukan sekadar digunakan untuk melakukan percakapan dengan chatbot.

Berhubungan dengan Operation GitPower

Aktivitas tersebut juga dikaitkan dengan kampanye Kimsuky yang disebut Genians sebagai Operation GitPower. Dalam operasi ini, kelompok peretas memanfaatkan repositori GitHub sebagai saluran command-and-control (C2). Infrastruktur GitHub dapat digunakan untuk membantu mengirimkan perintah atau informasi sebagai bagian dari rangkaian serangan.

Kampanye tersebut menggunakan rantai infeksi yang melibatkan file LNK dan PowerShell. Dalam beberapa kasus, Kimsuky juga diketahui mendistribusikan payload AsyncRAT yang telah dienkripsi dan disamarkan sebagai file gambar.

Penggunaan GitHub sebagai bagian dari infrastruktur C2 juga pernah didokumentasikan Fortinet dalam serangan yang menargetkan pengguna Korea Selatan.

Namun, temuan Fortinet hanya memperkuat keberadaan teknik serangan yang berkaitan dengan kampanye tersebut. Temuan itu tidak secara langsung membuktikan bahwa infrastruktur AI lokal yang baru ditemukan Genians digunakan dalam serangan terhadap korban.

Reuters juga menyebut temuan baru tersebut belum dapat diverifikasi secara independen.

AI Offline Belum Terbukti Menyerang Korban

Meski terdengar mengkhawatirkan, ada satu hal penting yang perlu digarisbawahi. Sampai informasi yang tersedia saat ini, belum ada bukti bahwa infrastruktur AI offline yang ditemukan Genians telah digunakan secara langsung untuk menyerang perangkat korban.

Begitu pula dengan model AI lokal, database RAG, dan alat transkripsi yang ditemukan. Belum diketahui secara pasti apakah seluruh komponen tersebut sudah masuk ke dalam operasi serangan atau masih berada dalam tahap pengujian dan persiapan.

Jumlah korban Operation GitPower juga belum diungkapkan.

Karena itu, perkembangan ini lebih tepat dipandang sebagai pembangunan fondasi teknologi daripada bukti bahwa Kimsuky telah sepenuhnya mengotomatisasi serangan siber menggunakan AI.

Namun, tahap persiapan tersebut tetap memiliki arti penting. Jika teknologi yang sedang diuji berhasil diterapkan dalam operasi nyata, AI dapat membantu mempercepat berbagai pekerjaan yang sebelumnya membutuhkan waktu dan tenaga operator manusia.

Pola Serangan Phishing Bisa Semakin Sulit Dikenali

Salah satu dampak yang paling diperhatikan adalah potensi penggunaan AI untuk membuat materi phishing. Selama ini, email phishing terkadang dapat dikenali melalui sejumlah tanda sederhana, seperti kesalahan tata bahasa, terjemahan yang kaku, format dokumen yang buruk, atau penggunaan bahasa yang terasa tidak alami.

AI dapat mengurangi kelemahan tersebut. Konten phishing yang dibuat dengan bantuan AI berpotensi memiliki bahasa yang lebih rapi dan terlihat lebih meyakinkan.

Akibatnya, pengguna maupun tim keamanan tidak dapat lagi terlalu mengandalkan kualitas bahasa sebagai indikator utama untuk menentukan apakah sebuah pesan berbahaya.

Genians menyarankan organisasi untuk lebih memperhatikan aktivitas yang terjadi setelah sebuah file dibuka atau dijalankan. Beberapa indikator yang perlu dikorelasikan antara lain eksekusi file LNK, aktivitas PowerShell, pembuatan tugas terjadwal tersembunyi, komunikasi dengan GitHub, hingga aktivitas payload setelah infeksi.

Pendekatan ini menempatkan perilaku perangkat sebagai salah satu sumber informasi utama dalam mendeteksi serangan.

Kimsuky Semakin Serius Memanfaatkan AI

Genians mengaitkan aktivitas tersebut dengan Kimsuky berdasarkan kesamaan dengan kampanye sebelumnya, petunjuk dari infrastruktur yang digunakan, serta kosakata Korea Utara yang ditemukan dalam log operator. 

Departemen Keuangan Amerika Serikat sebelumnya telah menjatuhkan sanksi terhadap Kimsuky pada 2023. Pemerintah AS menyebut kelompok tersebut berada di bawah Reconnaissance General Bureau dan memiliki fokus utama pada pengumpulan informasi intelijen.

Pemanfaatan AI juga bukan sesuatu yang sepenuhnya baru bagi Kimsuky. Pada 2025, Genians mengaitkan kelompok tersebut dengan kampanye spear-phishing yang menggunakan gambar kartu identitas pegawai militer Korea Selatan yang dibuat menggunakan ChatGPT.

Temuan terbaru menunjukkan adanya perkembangan lebih lanjut. AI kini tidak hanya berpotensi digunakan untuk membuat konten phishing, tetapi juga mulai dipelajari untuk membantu analisis data, pemrograman, pemrosesan audio, dan kemungkinan otomatisasi dalam pengembangan malware.

Bagi organisasi dan tim keamanan siber, perkembangan tersebut menjadi pengingat bahwa pertahanan tidak boleh hanya berfokus pada tampilan sebuah email atau file.

Ketika AI membuat umpan phishing semakin meyakinkan, jejak aktivitas setelah infeksi justru menjadi semakin penting. Eksekusi LNK, PowerShell, tugas terjadwal yang mencurigakan, komunikasi dengan layanan eksternal seperti GitHub, serta aktivitas payload perlu dipantau secara bersamaan.

Dengan kata lain, ancaman terbesar dari AI bagi keamanan siber bukan semata-mata karena peretas memiliki model AI baru. Tantangannya justru muncul ketika teknologi AI yang sudah tersedia mulai dirangkai menjadi bagian dari operasi serangan yang lebih cepat, terstruktur, dan sulit dikenali.