Hacker Korea Utara Gunakan Malware Mac Untuk Bobol Perusahaan Kripto
Kelompok hacker Korea Utara dilaporkan telah gunakan malware canggih yang dirancang khusus untuk macOS membobol perusahaan Web3 dan kripto.
Serangan ini, yang dikenal sebagai kampanye NimDoor atau Hidden Risk, menyebarkan malware melalui undangan Zoom palsu atau aplikasi terkait cryptocurrency yang menyamar sebagai alat sah. Berikut ini KEPPOO INDONESIA akan membahas mengenai hacker Korea Utara gunakan malware Mac untuk bobol perusahaan kripto.
Ancaman NimDoor Pada Perusahaan Kripto
Kelompok peretas Korea Utara, yang dikenal juga sebagai DPRK, telah melancarkan operasi siber canggih yang dijuluki NimDoor, menargetkan perusahaan Web3 dan kripto. Tujuan utama mereka adalah membobol pertahanan keamanan, mencuri data sensitif. Namun, mengambil alih informasi penting dari bisnis yang berfokus pada aset digital.
Peneliti keamanan dari SentinelOne Labs mengidentifikasi pola serangan multi-tahap ini pada 4 Juli 2025, mengungkap modus operandi yang semakin berkembang. Serangan NimDoor menggabungkan rekayasa sosial, AppleScripts yang menipu, dan penggunaan biner yang dikompilasi dalam bahasa pemrograman Nim.
Keunikan Nim sebagai bahasa yang tidak umum di macOS membuat malware ini lebih sulit dideteksi oleh perangkat lunak keamanan standar. Ini menunjukkan evolusi taktik oleh DPRK dalam upaya mereka untuk menghindari deteksi dan memastikan keberhasilan serangan.
Informasi Gembira bagi pecinta bola, Link Aplikasi Nonton Indonesia vs China dan Jepang vs Indonesia GRATIS, Segera download!
Modus Operandi Dimulai dari Rekayasa Sosial
Kompromi awal dalam kampanye NimDoor dimulai dengan praktik rekayasa sosial yang cerdik. Penyerang meniru kontak terpercaya melalui platform seperti Telegram, memikat korban untuk menjadwalkan pertemuan Zoom melalui tautan Calendly palsu. Tautan ini kemudian mengarahkan korban untuk menerima email phishing yang berisi pembaruan SDK Zoom berbahaya, yang sebenarnya adalah file AppleScript jebakan.
Skrip berbahaya ini dirancang dengan ribuan baris padding untuk menghindari deteksi dini oleh sistem keamanan. Kemudian mengunduh muatan malware tambahan dari server yang dikendalikan penyerang, yang meniru domain Zoom yang sah. Setelah dieksekusi, skrip ini menginstal dua biner Mach-O utama, satu ditulis dalam C++ dan satu lagi dalam Nim, yang bekerja sama untuk mempertahankan akses dan mencuri data.
Malware ini menggunakan teknik tak biasa untuk Mac, seperti menginjeksi proses dengan hak khusus. Malware juga memastikan persistensi dengan menggunakan komunikasi terenkripsi melalui WebSockets terenkripsi TLS dan mekanisme berbasis sinyal yang akan menginstal ulang malware jika pengguna mencoba menghentikannya atau jika sistem di-boot ulang.
Baca Juga: Rp15 M Dari Judi Online, Eks Kominfo Biayai Umroh Massal
Ekstraksi Data dari Berbagai Peramban
Setelah berhasil menembus sistem, malware NimDoor mulai mengeksfiltrasi data sensitif menggunakan skrip Bash yang dirancang khusus. Skrip ini mengikis riwayat peramban, kredensial Keychain, dan data Telegram dari perangkat korban. Peramban yang menjadi target meliputi Arc, Brave, Firefox, Chrome, dan Microsoft Edge, mencakup sebagian besar peramban populer yang digunakan saat ini.
Malware juga mencuri basis data Telegram lokal yang terenkripsi, yang kemudian dapat dipecahkan secara offline oleh peretas. Kemampuan ini sangat berbahaya karena Telegram sering digunakan untuk komunikasi sensitif di lingkungan bisnis, terutama di sektor kripto. Ini menunjukkan bahwa peretas tidak hanya menargetkan data keuangan. Tetapi juga informasi komunikasi yang bisa digunakan untuk serangan lebih lanjut atau pemerasan.
Persistensi malware dicapai melalui penggunaan macOS LaunchAgents yang cerdas dan konvensi penamaan yang menipu. Sebagai contoh, malware menginstal biner dengan nama seperti Google LLC, dengan sengaja mengganti huruf kapital I dengan huruf kecil L untuk menyamarkannya agar terlihat seperti file Google yang sah.
Infiltrasi Karyawan Ke Perusahaan Kripto
Selain serangan malware langsung, terdapat kekhawatiran serius mengenai infiltrasi karyawan yang terafiliasi dengan Korea Utara ke dalam perusahaan dan proyek kripto global. Peneliti on-chain ZachXBT memperingatkan bahwa antara 345 hingga 920 peran di industri kripto diduga diisi oleh agen IT yang disponsori pemerintah Korea Utara.
Para pelaku ini menyamar sebagai developer atau pekerja freelance untuk mendapatkan posisi strategis, dan sejak awal tahun 2025, perusahaan kripto secara tidak sadar telah membayar lebih dari $16 juta kepada jaringan pekerja ini. Infiltrasi ini menimbulkan ancaman ganda, pencurian dana melalui akses internal dan potensi eksploitasi proyek dari dalam, serta ancaman keamanan nasional.
Para peretas ini menjalankan skema yang sangat rapi dan sulit dideteksi, sering kali menggunakan alamat IP dari Rusia meskipun mengaku sebagai penduduk Amerika Serikat, menciptakan inkonsistensi yang mencurigakan. Mereka juga menggunakan identitas palsu dan alamat fiktif. Bahkan profil karyawan yang dihasilkan AI, untuk mendaftarkan perusahaan palsu seperti BlockNovas LLC dan SoftGlide LLC.
Cara Mengamankan Diri dari Serangan NimDoor
Untuk tetap aman dari serangan seperti NimDoor, pengguna dan perusahaan harus sangat berhati-hati dan menerapkan langkah-langkah keamanan siber yang kuat. Pertama, hindari menjalankan skrip atau pembaruan perangkat lunak yang diterima melalui email atau pesan dari orang tak dikenal, bahkan jika tampaknya berasal dari kontak terpercaya.
Kedua, teliti dalam memeriksa URL sebelum mengklik tautan apa pun, karena peretas sering membuat domain yang mirip untuk mengelabui korban. Perhatikan perbedaan kecil dalam ejaan atau subdomain yang tidak lazim. Ketiga, perbarui macOS dan semua aplikasi yang terinstal dengan patch terbaru. Karena pembaruan ini sering kali mengatasi kerentanan yang dieksploitasi oleh kampanye malware.
Terakhir, gunakan kata sandi yang kuat dan unik untuk semua akun, dan aktifkan otentikasi multi-faktor (MFA) jika tersedia. MFA menambahkan lapisan keamanan ekstra yang sangat efektif dalam mencegah akses tidak sah, bahkan jika kata sandi telah dicuri. Ikuti terus informasi berita terbaru dari kami yang terus update setiap harinya di KEPPOO INDONESIA.
Sumber Informasi Gambar:
- Gambar Pertama dari www.liputan6.com
- Gambar Kedua dari www.liputan6.com
