Perkembangan serangan siber saat ini semakin canggih. Hacker tidak selalu menggunakan virus atau malware yang terlihat berbahaya. Sebaliknya, mereka mulai memanfaatkan software resmi dan terpercaya agar aktivitas mereka sulit dideteksi oleh sistem keamanan.
Baru-baru ini, peneliti keamanan dari Darktrace menemukan kampanye serangan siber yang diduga terkait dengan Korea Utara atau Democratic People’s Republic of Korea (DPRK). Serangan ini menargetkan pengguna di Korea Selatan dengan memanfaatkan dokumen palsu bertema pemerintah dan fitur resmi dari aplikasi Visual Studio Code (VS Code) untuk mendapatkan akses jarak jauh ke komputer korban.
Kasus ini menunjukkan bagaimana hacker modern mulai menggunakan tools legal untuk melakukan aktivitas ilegal secara diam-diam.
Bagaimana Serangan Ini Dimulai?
Menurut laporan Darktrace, serangan kemungkinan dimulai melalui email phishing yang dikirim langsung ke target tertentu atau dikenal sebagai spear phishing.
Korban menerima file yang terlihat seperti dokumen resmi pemerintah Korea Selatan. File tersebut menyamar sebagai dokumen HWPX, yaitu format dokumen populer di Korea Selatan yang dibuat menggunakan aplikasi Hancom Office.
Judul dokumen palsu tersebut adalah:
“Documents related to selection of students for the domestic graduate school master’s night program in the first half of 2026”
Jika diterjemahkan secara sederhana, dokumen itu terlihat seperti file resmi terkait seleksi mahasiswa program pascasarjana tahun 2026.
Karena terlihat resmi dan meyakinkan, korban kemungkinan besar akan membuka file tersebut tanpa curiga.
File Dokumen Ternyata Berisi Script Berbahaya
Walaupun tampak seperti dokumen biasa, file tersebut sebenarnya adalah file JSE atau Javascript Encoded Script.
Saat file dibuka, Windows Script Host langsung menjalankan script tersembunyi di dalamnya.
Di saat yang sama, dokumen umpan palsu tetap ditampilkan kepada korban agar korban mengira semuanya normal.
Dokumen tersebut bahkan dibuat menyerupai dokumen resmi dari Ministry of Personnel Management, yaitu lembaga pemerintah Korea Selatan yang mengelola urusan pegawai negeri sipil.
Peneliti menemukan bahwa hacker kemungkinan mengambil dokumen asli dari situs pemerintah lalu memodifikasinya agar terlihat lebih meyakinkan.
Malware Mengunduh Visual Studio Code
Setelah script aktif, malware mulai mengunduh beberapa file dari server resmi Microsoft ke folder:
C:\ProgramData
File yang diunduh meliputi:
-
VS Code CLI ZIP
-
code.exe (file resmi Visual Studio Code)
-
file out.txt
Yang menarik, hacker tidak menggunakan malware khusus untuk remote access. Mereka justru memanfaatkan fitur resmi milik Visual Studio Code bernama VS Code Tunnel.
Apa Itu VS Code Tunnel?
VS Code Tunnel adalah fitur resmi dari Visual Studio Code yang memungkinkan pengguna mengakses komputer lain dari jarak jauh.
Biasanya fitur ini digunakan developer untuk:
-
Mengakses server dari rumah
-
Remote coding
-
Mengelola sistem jarak jauh
Fitur ini bekerja dengan membuat koneksi terenkripsi melalui server Microsoft.
Karena menggunakan infrastruktur resmi Microsoft, aktivitas ini terlihat normal dan sulit dibedakan dari penggunaan biasa.
Hacker Membuat Jalur Akses Rahasia
Dalam serangan ini, script menjalankan perintah berikut secara tersembunyi:
code.exe tunnel --name bizeugene
Perintah tersebut membuat tunnel VS Code bernama “bizeugene”.
Setelah tunnel aktif, komputer korban otomatis terhubung ke layanan tunnel Microsoft.
Lalu file bernama out.txt berisi:
-
log server VS Code
-
kode autentikasi GitHub
Kode ini digunakan hacker untuk menghubungkan akun GitHub mereka dengan komputer korban.
Begitu proses otorisasi selesai, hacker mendapatkan akses penuh ke komputer korban melalui VS Code.
Apa yang Bisa Dilakukan Hacker?
Dengan akses VS Code Tunnel, hacker dapat:
-
Membuka terminal komputer korban
-
Mengakses file dan folder
-
Mengunduh malware tambahan
-
Mencuri data penting
-
Menjalankan perintah jarak jauh
-
Mengontrol sistem tanpa diketahui korban
Yang berbahaya, semua aktivitas ini dilakukan menggunakan software resmi Microsoft, sehingga antivirus biasa mungkin tidak menganggapnya sebagai ancaman.
Mengapa Teknik Ini Berbahaya?
Dulu hacker biasanya menggunakan malware khusus yang mudah dikenali antivirus.
Namun sekarang banyak hacker memakai teknik Living Off The Land, yaitu memanfaatkan software legal yang sudah dipercaya sistem.
Karena Visual Studio Code adalah aplikasi resmi dan sering dipakai developer, aktivitas tunnel seperti ini lebih sulit terdeteksi.
Apalagi di perusahaan teknologi atau lingkungan developer, penggunaan VS Code memang sangat umum.
Menggunakan Website Korea Selatan yang Diretas
Peneliti juga menemukan bahwa kode tunnel dan token koneksi dikirim ke website Korea Selatan yang sudah diretas:
yespp.co.kr
Website tersebut dijadikan Command and Control (C2) server oleh hacker.
Artinya, hacker memanfaatkan website asli yang sudah dikompromikan untuk mengendalikan serangan mereka.
Teknik ini membuat komunikasi malware terlihat lebih normal karena menggunakan domain terpercaya.
Diduga Terkait Hacker Korea Utara
Darktrace menyebut bahwa pola serangan ini memiliki kemiripan dengan teknik yang sering digunakan kelompok hacker Korea Utara.
Beberapa ciri khasnya antara lain:
-
Menyamar sebagai institusi pemerintah Korea Selatan
-
Menggunakan dokumen Hancom Office
-
Menargetkan pengguna Korea Selatan
-
Menggunakan akses jarak jauh jangka panjang
Walaupun belum ada bukti mutlak, teknik dan pola serangannya sangat mirip dengan operasi siber DPRK sebelumnya.
Mengapa Hacker Memilih Tools Legal?
Alasannya sederhana: lebih sulit dideteksi.
Jika hacker menggunakan malware biasa:
-
Antivirus mudah mengenali
-
Sistem keamanan bisa memblokir
-
Aktivitas terlihat mencurigakan
Tetapi jika menggunakan software resmi seperti VS Code:
-
Aktivitas terlihat normal
-
Sulit dibedakan dari penggunaan biasa
-
Firewall jarang memblokir koneksi Microsoft
Inilah yang membuat serangan modern semakin sulit dideteksi.
Cara Melindungi Diri dari Serangan Seperti Ini
Agar tidak menjadi korban, ada beberapa langkah penting yang bisa dilakukan:
1. Jangan Sembarangan Membuka Lampiran Email
Terutama file dokumen dari pengirim tidak dikenal.
2. Periksa Ekstensi File
File .jse, .exe, atau script lainnya sangat berbahaya jika berasal dari sumber asing.
3. Batasi Penggunaan Remote Tools
Monitor penggunaan VS Code Tunnel atau software remote access lainnya.
4. Gunakan Endpoint Security Modern
Sistem keamanan modern bisa mendeteksi perilaku mencurigakan, bukan hanya virus.
5. Edukasi Pengguna
Banyak serangan berhasil karena korban kurang waspada terhadap phishing.
Kesimpulan
Kasus ini menunjukkan bahwa ancaman siber modern semakin canggih dan sulit dikenali. Hacker tidak lagi selalu menggunakan malware tradisional, tetapi mulai memanfaatkan software resmi seperti Visual Studio Code untuk mendapatkan akses jarak jauh ke komputer korban.
Dengan menyamar sebagai dokumen pemerintah dan memanfaatkan fitur legal Microsoft, serangan ini menjadi jauh lebih sulit dideteksi oleh sistem keamanan biasa.
Karena itu, kewaspadaan pengguna dan monitoring aktivitas sistem menjadi sangat penting untuk mencegah serangan siber modern seperti ini.
darktrace Indonesia merupakan bagian dari PT. iLogo Infralogy Indonesia, yang bertindak sebagai partner resmi darktrace.
Selain itu, kami juga berperan sebagai penyedia layanan (vendor) sekaligus distributor berbagai produk Infrastruktur IT dan Cybersecurity terbaik di Indonesia.
