Bagaimanapun, serangan Korea Selatan bukan dari alamat ip Cina

Tampaknya serangan cyber baru-baru ini terhadap bank-bank Korea Selatan dan jaringan televisi mungkin tidak berasal dari China, kata pejabat negara itu Jumat.

"Kami ceroboh dalam upaya kami untuk melakukan pemeriksaan ulang dan pemeriksaan tiga kali lipat, " kata pejabat Komisi Komunikasi Korea Lee Seung-won kepada wartawan, Jumat. "Kami sekarang akan membuat pengumuman hanya jika bukti kami yakin, " kata Lee.

Pada tanggal 20 Maret, stasiun televisi Korea KBS, MBC, dan YTN, serta lembaga perbankan Jeju, NongHyup, dan Shinhan terinfeksi dengan malware yang menghapus data dari hard drive, membuat sistem tidak bisa dioperasikan. KCC sebelumnya mengatakan alamat IP Cina mengakses server manajemen pembaruan di bank NongHyup untuk mendistribusikan malware "penghapus", yang menghapus data dari sekitar 32.000 sistem Windows, Unix, dan Linux di enam organisasi yang terpengaruh.

Tampaknya KCC salah mengira alamat IP pribadi yang digunakan oleh sistem NongHyup sebagai alamat IP Cina karena mereka "kebetulan" sama, menurut laporan Associated Press. Pejabat telah mengambil hard drive sistem, tetapi tidak jelas pada titik di mana infeksi berasal.

"Kami masih melacak beberapa alamat IP yang meragukan yang diduga berbasis di luar negeri, " kata Lee Jae-Il, wakil presiden Badan Internet dan Keamanan Korea, kepada wartawan.

Atribusi itu Sulit

Tak lama setelah KCC mengklaim serangan itu berasal dari alamat IP di China, pejabat Korea Selatan menuduh Korea Utara berada di balik kampanye ini. Korea Selatan menuduh tetangganya di utara menggunakan alamat IP China untuk menargetkan pemerintah Korea Selatan dan situs web industri dalam serangan sebelumnya.

Namun, hanya satu alamat IP bukan bukti konklusif, mengingat ada banyak kelompok yang disponsori negara dan geng penjahat cyber menggunakan server Cina untuk meluncurkan serangan. Ada juga banyak teknik yang bisa digunakan penyerang untuk menyembunyikan aktivitas mereka atau membuatnya tampak seperti datang dari tempat lain.

Kesalahan KCC ini, walaupun memalukan bagi pemerintah Korea Selatan, menyoroti dengan sempurna mengapa sangat sulit untuk mengidentifikasi asal-usul dan pelaku serangan cyber. Atribusi serangan bisa "sangat sulit, " kata Lawrence Pingree, direktur penelitian di Gartner.

Tantangannya terletak pada fakta bahwa "kontra-intelijen dapat digunakan di Internet seperti spoofing IP sumber, menggunakan server proxy, menggunakan botnet untuk mengirimkan serangan dari lokasi lain, " dan metode lainnya, kata Pingree. Pengembang malware dapat menggunakan peta keyboard dari bahasa yang berbeda, misalnya.

"Seorang Cina Amerika atau Eropa yang mengerti bahasa Cina tetapi mengembangkan eksploitasi mereka untuk negara asal mereka akan menghasilkan atribusi yang bermasalah atau tidak mungkin, " kata Pingree.

Detail Serangan

Serangan itu tampaknya telah diluncurkan dengan menggunakan beberapa vektor serangan, dan pihak berwenang telah meluncurkan penyelidikan "multilateral" untuk mengidentifikasi "semua rute infiltrasi yang mungkin, " menurut laporan dari Kantor Berita Korea Selatan Yonhap. Lee dari KCC telah mengabaikan kemungkinan serangan itu berasal dari Korea Selatan, tetapi menolak untuk menjelaskan alasannya.

Setidaknya satu vektor tampaknya menjadi kampanye phishing tombak yang termasuk penetes malware, peneliti Trend Micro menemukan. Beberapa organisasi Korea Selatan menerima pesan bank spam dengan lampiran file berbahaya. Saat pengguna membuka file, malware mengunduh malware tambahan, termasuk wiper catatan boot master Windows dan skrip bash yang menargetkan sistem Unix dan Linux yang terhubung dengan jaringan, dari beberapa URL.

Para peneliti telah mengidentifikasi "bom logika" di Windows MBR wiper yang membuat malware dalam keadaan "tidur" hingga 20 Maret pukul 2 siang. Pada waktu yang ditentukan, malware mengaktifkan dan mengeksekusi kode jahatnya. Laporan dari bank dan stasiun televisi mengkonfirmasi bahwa gangguan mulai sekitar 2 siang hari itu.

Pada hari Jumat, bank Jeju dan Shinhan telah memulihkan jaringan mereka, dan NongHyup masih dalam proses, tetapi ketiganya kembali online dan fungsional. Stasiun TV KBS, MBC, dan YTN hanya memulihkan 10 persen dari sistem mereka dan pemulihan penuh bisa memakan waktu berminggu-minggu. Namun, stasiun mengatakan kemampuan siaran mereka tidak pernah terpengaruh, kata KCC.