Microsoft zufolge haben drei nordkoreanische Hackergruppen nun künstliche Intelligenz in ihre täglichen Angriffsoperationen integriert und befinden sich damit auf der höchsten Stufe der Bewertungsskala des Unternehmens. Microsoft (NASDAQ: MSFT) stuft Nordkoreas gesamten KI-Einsatz beim Hacken als hoch ein.

Die Ergebnisse werden veröffentlicht, während Nordkorea für den größten Krypto-Diebstahl der Geschichte verantwortlich gemacht wird – den Hack von Binance über 6,36 Milliarden US-Dollar.

Wie nordkoreanische Hacker KI einsetzen

In einem am Donnerstag veröffentlichten Bericht stufte Microsoft Threat Intelligence acht der aktivsten Hackergruppen Nordkoreas auf einer vierstufigen Skala ein: emerging, expanding, accelerating und operationalized. „Operationalisiert“ – die oberste Stufe – bedeutet, dass KI in die gesamten Abläufe einer Gruppe eingebettet ist.

Jade Sleet, Coral Sleet und Jasper Sleet befinden sich auf der obersten Stufe, während Diamond Sleet, Onyx Sleet, Pearl Sleet und Sapphire Sleet in der Stufe „accelerating“ eingeordnet sind. Emerald Sleet liegt in der Stufe „expanding“, und derzeit nimmt keine Gruppe die Stufe „emerging“ ein. Die „Sleet“-Namen sind Microsofts Bezeichnungen für nordkoreanische, staatlich unterstützte Akteure, Teil eines anbieterspezifischen Benennungssystems, bei dem andere Sicherheitsfirmen eigene Bezeichnungen für dieselben Einheiten verwenden.

Microsoft verknüpfte die Einstufungen mit konkreten Aktivitäten. Jade Sleet führte innerhalb einer einzigen Woche Kampagnen über drei Scheinfirmen durch. Coral Sleet fand einen Weg, Schadsoftware in privaten Codespeicher einzuschleusen. Onyx Sleet erstellte innerhalb von Minuten Dutzende individuelle Phishing-Nachrichten. Diamond Sleet nutzte KI, um erfundene Personen und Deckfirmen zu erstellen und seine Ziele zu täuschen. Eine Gruppe soll laut Berichten im August und September mehr als 100 individuelle PDF-Köder für südkoreanische Nutzer erstellt haben – Arbeit, die früher Tage pro Ziel in Anspruch nahm.

Die Gruppen nutzten auch KI-Coding-Tools. Laut Microsoft verwendeten die Operateure Tools wie Cursor, einen weit verbreiteten KI-gestützten Code-Editor, um Code zu schreiben, Fehler zu beheben und Methoden zur Vermeidung der Erkennung zu entwickeln. Onyx Sleet und Pearl Sleet nutzten ARTEX, ein Open-Source-Tool zur Prüfung von Systemen auf Schwachstellen, das mit einem KI-Modell verbunden und beauftragt werden kann, selbstständig Ziele auszukundschaften. Storm-0940, eine Gruppe mit China-Verbindung, soll ARTEX laut Berichten gegen ConnectWise eingesetzt haben.

Microsofts Analysten sind der Ansicht, dass Menschen weiterhin hauptsächlich die Hackeroperationen Nordkoreas steuern und KI lediglich genutzt wird, um Arbeiten zu beschleunigen, die die Gruppen bereits durchführten, wie das Auskundschaften von Zielen, das Erstellen von Phishing-Inhalten und das Aufrechterhalten falscher Identitäten.

Microsoft erklärte, Krypto-Börsen und Finanzunternehmen gehörten zu den häufigsten Zielen der Cyber-Operationen Nordkoreas, da die Kampagnen in erster Linie darauf abzielen, Geld für das Regime zu beschaffen und Informationen zu sammeln. Dieser Fokus deckt sich mit den Forschungsergebnissen von TRM Labs, wonach Nordkorea 2026 mit nur zwei Angriffen 76 % des gesamten durch Krypto-Hacks erbeuteten Werts stahl.

Hatte KI einen Anteil am Binance-Hack?

Bislang gibt es keine Hinweise darauf, dass die Angreifer hinter dem Binance-Hack KI nutzten, und Microsofts Bericht verknüpft den Diebstahl mit keiner KI-Technik.

Der Binance-Hack, der als größter Krypto-Diebstahl der Geschichte bezeichnet wird, ereignete sich am 29. Oktober. Das Blockchain-Forschungsunternehmen TRM Labs teilte mit, ein Angreifer habe rund 6,36 Milliarden US-Dollar aus Binance-Wallets über zehn Blockchains hinweg bewegt, den Großteil davon in etwa 20 Minuten. In einem Blogbeitrag schrieb TRM den Angriff TraderTraitor zu, den es als Elite-Hacking-Einheit Nordkoreas bezeichnet – eine Gruppe, die Microsoft als Jade Sleet führt – und äußerte sich mit hoher Konfidenz zu dieser Einordnung. Jonathan Levin, Mitgründer von Chainalysis, kam auf X zum gleichen Schluss.

Binance selbst erklärt in seiner Darstellung des Vorfalls, wie die Angreifer eindrangen, aber nicht, welche Tools sie verwendeten, so Cryptopolitans Berichterstattung. Die Börse erklärte zunächst, ein gehacktes Laptop eines Ingenieurs sei offenbar das Einfallstor gewesen, doch eine spätere Untersuchung identifizierte weitere „Points of Breach“.

Binance hat rund 3 Milliarden US-Dollar der gestohlenen Gelder eingefroren, Auszahlungen ausgesetzt und zugesagt, Verluste der Nutzer zu übernehmen. Da die Darstellung der Börse die Werkzeuge der Angreifer nicht nennt, bleibt die Frage, ob KI eine Rolle bei dem Diebstahl spielte, während die Ermittlungen andauern offen.