Ancaman siber yang berasal dari Korea Utara terus berevolusi, tidak hanya dari sisi teknik, tetapi juga dari struktur organisasinya. Salah satu contoh paling signifikan adalah LABYRINTH CHOLLIMA, aktor ancaman yang selama lebih dari satu dekade dikenal sebagai salah satu kelompok siber paling aktif dan berbahaya di dunia. Kini, berdasarkan analisis intelijen terbaru, LABYRINTH CHOLLIMA telah berevolusi menjadi tiga entitas operasional terpisah dengan misi, target, dan keahlian yang berbeda: LABYRINTH CHOLLIMA (inti), GOLDEN CHOLLIMA, dan PRESSURE CHOLLIMA.
Transformasi ini bukan sekadar perubahan nama, melainkan mencerminkan strategi jangka panjang Korea Utara dalam mengoptimalkan operasi sibernya—memisahkan fungsi spionase, pencurian finansial berskala besar, dan pendanaan berkelanjutan negara melalui kejahatan digital.
Dari Satu Kelompok Menjadi Tiga Unit Spesialis
Sejak 2018, CrowdStrike Intelligence mengamati perbedaan yang semakin jelas dalam pola serangan, malware, serta target yang disasar oleh LABYRINTH CHOLLIMA. Evaluasi ulang terhadap data historis menunjukkan bahwa satu kelompok besar telah terfragmentasi menjadi tiga unit dengan spesialisasi tinggi.
Meski kini beroperasi secara independen, ketiga kelompok ini masih berbagi infrastruktur, toolset, dan DNA taktis yang sama. Hal ini mengindikasikan adanya koordinasi terpusat dan alokasi sumber daya yang terorganisir di dalam ekosistem siber Korea Utara.
Akar Sejarah: Fondasi Malware yang Sama
Aktivitas LABYRINTH CHOLLIMA berakar pada framework malware KorDLL, yang aktif sejak 2009 hingga 2015. Framework ini menjadi “pabrik” malware yang melahirkan berbagai keluarga terkenal seperti Dozer, Brambul, Joanap, Koredos, hingga Hawup. Dari sinilah tiga subkelompok modern muncul, masing-masing mengembangkan jalur malware dan tujuan operasionalnya sendiri.
Evolusi ini menunjukkan bahwa aktor siber Korea Utara tidak beroperasi secara ad hoc. Mereka belajar, menyempurnakan, dan membagi pengetahuan secara sistematis—sebuah pendekatan yang menyerupai organisasi militer atau intelijen formal.
GOLDEN CHOLLIMA: Mesin Pendapatan Konsisten
GOLDEN CHOLLIMA berfokus pada target di wilayah dengan ekosistem kripto dan fintech yang matang, seperti Amerika Serikat, Kanada, Korea Selatan, India, dan Eropa Barat. Tujuan utama kelompok ini adalah pencurian aset digital bernilai kecil hingga menengah secara konsisten, yang kemungkinan besar digunakan untuk memastikan aliran dana stabil bagi rezim Korea Utara.
Malware andalan mereka berasal dari Jeus dan AppleJeus, yang menyamar sebagai aplikasi kripto legal. Seiring waktu, GOLDEN CHOLLIMA mengembangkan toolkit khusus yang mencakup PipeDown, DevobRAT, hingga Anycon. Dalam operasi terbaru, mereka bahkan memanfaatkan cloud environment, menyusup melalui penipuan rekrutmen dan menyalahgunakan konfigurasi IAM untuk mencuri aset kripto langsung dari infrastruktur korban.
PRESSURE CHOLLIMA: Perampok Kripto Bernilai Fantastis
Berbeda dengan GOLDEN CHOLLIMA, PRESSURE CHOLLIMA mengejar target bernilai sangat tinggi, tanpa terikat wilayah geografis. Kelompok ini bertanggung jawab atas beberapa pencurian kripto terbesar dalam sejarah, dengan nilai kerugian mencapai ratusan juta dolar.
PRESSURE CHOLLIMA menggunakan malware canggih dan jarang terdeteksi, seperti SparkDownloader (TraderTraitor), Scuzzyfuss, dan TwoPence Electric. Mereka juga dikenal menyalahgunakan proyek Node.js dan Python berbahaya, menjadikan supply chain open-source sebagai vektor serangan utama.
Tingkat sofistikasi teknis dan keberanian operasional menjadikan PRESSURE CHOLLIMA sebagai salah satu aktor siber paling berbahaya saat ini.
LABYRINTH CHOLLIMA Inti: Spionase dan Infrastruktur Strategis
Sementara itu, LABYRINTH CHOLLIMA versi inti kini lebih difokuskan pada operasi spionase, menargetkan sektor manufaktur, pertahanan, logistik, dan infrastruktur kritis. Target utama mereka meliputi perusahaan pertahanan Eropa, manufaktur di AS dan Jepang, hingga sektor energi seperti pembangkit listrik tenaga air.
Malware modern seperti FudModule, yang mampu melakukan manipulasi kernel dan mengeksploitasi zero-day vulnerability, menunjukkan bahwa kelompok ini tetap menjadi ancaman serius bagi keamanan nasional dan industri strategis.
Metode infeksi mereka juga semakin adaptif, termasuk penggunaan WhatsApp untuk mengirim file ZIP berbahaya dan teknik social engineering bertema lowongan kerja yang disesuaikan dengan peran korban.
Implikasi Strategis bagi Dunia Usaha
Pemisahan LABYRINTH CHOLLIMA menjadi tiga unit khusus menunjukkan kematangan strategi siber Korea Utara. Dengan struktur ini, mereka dapat secara paralel menjalankan spionase, pendanaan negara, dan pencurian kripto berskala besar—tanpa saling mengganggu.
Bagi organisasi di sektor kriptokurensi, fintech, pertahanan, manufaktur, dan logistik, ancaman ini bukan lagi skenario hipotetis. Ini adalah realitas yang sedang berlangsung.
Kesimpulan
Evolusi LABYRINTH CHOLLIMA menjadi GOLDEN CHOLLIMA, PRESSURE CHOLLIMA, dan unit inti mencerminkan perubahan fundamental dalam lanskap ancaman global. Meski beroperasi terpisah, ketiganya tetap menjadi bagian dari satu mesin strategis Korea Utara dengan tujuan ekonomi dan geopolitik yang jelas.
Organisasi yang gagal memahami perubahan ini berisiko tertinggal satu langkah di belakang musuh yang terus belajar dan beradaptasi. Di era ancaman siber modern, kewaspadaan, intelijen yang akurat, dan disiplin keamanan bukan lagi keunggulan—melainkan kebutuhan mutlak.
Lindungi Infrastruktur Cloud Anda dengan Teknologi Keamanan Terdepan
Tim CrowdStrike Indonesia, bersama mitra resmi PT. iLogo Infralogy Indonesia, siap membantu Anda menghadapi tantangan keamanan siber—khususnya dalam melindungi infrastruktur cloud bisnis yang semakin kompleks.
Didukung teknologi berbasis kecerdasan buatan (AI) yang telah terbukti secara global, kami membantu mengevaluasi postur keamanan Anda dan merekomendasikan solusi yang tepat sesuai kebutuhan spesifik perusahaan.
Kami juga menyediakan sesi demo langsung, sehingga Anda dapat melihat secara nyata bagaimana teknologi CrowdStrike bekerja dalam mendeteksi, mencegah, dan merespons ancaman siber secara real-time.
Jangan menunggu hingga serangan terjadi.
Hubungi kami hari ini untuk konsultasi gratis dan ambil langkah proaktif yang tepat demi menjaga keamanan dan keberlanjutan bisnis Anda.