Die Kimsuky-Bedrohungsgruppe aus Nordkorea integriert künstliche Intelligenz und große Sprachmodelle in ihre Cyberangriffs-Workflows und verbessert damit die Geschwindigkeit, Skalierbarkeit und Glaubwürdigkeit von Phishing- und Social-Engineering-Operationen, die sich gegen Kryptowährungs- und Finanzorganisationen richten, erheblich.

Diese Entwicklung markiert einen bemerkenswerten Wandel des staatlich verbundenen Espionage-Akteurs hin zu KI-gestützten Werkzeugen, die darauf ausgelegt sind, hochwertige Finanzziele zu kompromittieren.

KI-Integration in der Praxis

Kimsuky, von Forschern auch unter Namen wie Thallium und Velvet Chollima verfolgt, ist eine mit Nordkorea verbundene Cyberespionage-Gruppe, die seit mindestens 2012 aktiv ist und eine gut dokumentierte Geschichte gezielter Phishing- und Credential-Diebstahl-Angriffe gegen Thinktanks, akademische Einrichtungen, Regierungsstellen und Organisationen des Finanzsektors aufweist. Sicherheitsforscher bei Genians haben analysiert, wie die Gruppe generative KI-Werkzeuge in ihre Operationen integriert.

In operativer Hinsicht bedeutet KI-Integration den Einsatz von Sprachmodellen zum Verfassen von Phishing-Texten, zum Übersetzen von Ködern in fließende Texte in der Zielsprache und zum Erzeugen überzeugender Identitätsbetrugs-Inhalte. Diese Aufgaben erforderten zuvor erheblichen manuellen Aufwand und produzierten häufig Grammatikfehler, auf die Verteidiger bei der Identifizierung betrügerischer Kommunikationen vertrauten.

US-Behörden haben separat Nordkorea-verbundene Cyberaktivitäten ins Visier genommen, die sich gegen finanzielle Ziele und virtuelle Vermögenswerte richten, und zwar durch eine gemeinsame Cybersicherheits-Warnmeldung, die vom Internet Crime Complaint Center (IC3) veröffentlicht wurde.

Warum Krypto und Finanzen Hauptziele sind

Kryptowährungs- und Finanzorganisationen verbinden hochwertige, schnell verschiebbare Vermögenswerte mit identitätsreichen Workflows. Diese Kombination macht sie zu einem natürlichen Ziel für einen Akteur, der auf Credential-Diebstahl und Systemzugriff konzentriert ist – ein Muster, das mit früheren Vorfällen übereinstimmt, die nordkoreanischen Angreifern bei Angriffen auf Krypto-Plattformen zugeschrieben wurden. Ein Expertenpanel der Vereinten Nationen hat zuvor berichtet, dass nordkoreanische Akteure Hunderte Millionen Dollar an digitalen Vermögenswerten gestohlen haben, deren Erlös Berichten zufolge verwendet wurde, um Sanktionen auszugleichen, die die Wirtschaft des Landes einschränken.

KI senkt die Hürden für Angreifer, indem sie einem einzelnen Operator ermöglicht, mehr Nachrichten in mehr Sprachen mit höherer scheinbarer Qualität zu produzieren. Diese Skalierbarkeit kann die Erfolgsraten bei Social-Engineering-Kampagnen erhöhen, ohne zusätzliches Personal zu erfordern. Microsoft und OpenAI haben separat Fälle dokumentiert, in denen staatlich verbundene Akteure mit großen Sprachmodellen für Recherche, Übersetzung und Content-Erzeugung experimentierten, wodurch Kimsukys Übernahme in einen breiteren Trend der KI-Nutzung durch Angreifer eingeordnet wird.

Am stärksten gefährdete Rollen

Die Positionen, die diesen KI-verstärkten Kampagnen am stärksten ausgesetzt sind, sind solche mit privilegiertem Zugriff oder nach außen gerichteten Kommunikationsverantwortlichkeiten. Dazu gehören Führungskräfte, Mitarbeiter in Treasury und Zahlungsverkehr, Compliance-Teams und Investor-Relations-Personal. Die Kompromittierung einer dieser Rollen kann zu Credential-Diebstahl, Wallet-Zugriff oder Zahlungsbetrug führen.

Die Taktik ähnelt anderen kürzlichen Social-Engineering-Kampagnen gegen Krypto-Nutzer, einschließlich Berichten, dass eine andere Nordkorea-verbundene Gruppe gefälschte Zoom- und Teams-Meetings nutzte, um Kryptowährungs-Nutzer ins Visier zu nehmen. KI macht solche Ansätze billiger und leichter skalierbar.

Verteidigungsempfehlungen

Verteidiger sollten eingehende Nachrichten unabhängig von der Sprachqualität als verdächtig behandeln, da fließend formulierte, gut formatierte Köder nicht mehr für Legitimität sprechen. Zu den empfohlenen Gegenmaßnahmen gehören phishingresistente Mehrfaktor-Authentifizierung, Out-of-Band-Verifizierung für Geldbewegungen und strengere Kontrollen privilegierter Konten.

Nordkoreas Nutzung des Finanzsystems für illegale Einnahmen hat wiederholte US-Maßnahmen nach sich gezogen, darunter Sanktionen des Treasury, die mit der Cyber- und virtuellen Vermögenswert-Aktivität des Landes verbunden sind.