Nordkoreanische Hacker kapern Telegram-Konten, um Bitcoin- und Krypto-Unternehmen ins Visier zu nehmen
Wichtige Erkenntnisse
- •Nordkoreanische Hacker kompromittieren vertrauenswürdige Telegram-Konten, um sich als Führungskräfte und Mitarbeiter der Krypto-Branche auszugeben, und nutzen diese Identitäten dann, um Kollegen und Partner zur Installation von Malware zu verleiten.
- •Die Kampagne verläuft in mehreren Phasen: Übernahme von Konten, Aufbau von Glaubwürdigkeit durch routinemäßige Gespräche, Vereinbarung gefälschter Videomeetings und Überzeugung der Opfer, bösartige Software zu installieren, die als technisches Update getarnt ist.
- •Es wurden mehrere Malware-Familien eingesetzt, um Zugangsdaten, Browserdaten und Kryptowährungs-Wallet-Informationen zu stehlen und gleichzeitig langfristigen Zugriff auf infizierte Systeme aufrechtzuerhalten.
- •UN-Sanktionsmonitore berichten, dass nordkoreanische Cyber-Operative in den letzten Jahren Kryptowährungen im Wert von Milliarden Dollar gestohlen haben, wobei ein Teil der Erlöse zur Finanzierung des Waffenprogramms des Landes beigetragen hat.
- •Sicherheitsfachleute raten, unerwartete Meeting-Anfragen über separate Kommunikationskanäle zu verifizieren und starke Kontoschutzmaßnahmen zu aktivieren, um das Kompromittierungsrisiko zu verringern.
Mit dem nordkoreanischen Staat verbundene Hacker weiten ihre Angriffe auf die Kryptowährungsbranche aus, indem sie Telegram-Konten kompromittieren und diese nutzen, um Bitcoin- und Krypto-Fachleute zur Installation von Malware zu verleiten. Sicherheitsforscher beschreiben die Kampagne als eine weitere Weiterentwicklung der langjährigen Bemühungen Pjöngjangs, digitale Vermögenswerte und sensible Zugangsdaten zu stehlen, die zur Finanzierung der sanktionierten Aktivitäten des Landes beitragen können. Laut Sanktionsmonitoren der Vereinten Nationen und Blockchain-Analysefirmen wie Chainalysis und TRM Labs haben nordkoreanische Cyber-Operative in den vergangenen Jahren Kryptowährungen im Wert von Milliarden Dollar gestohlen, wobei UN-Gremien berichten, dass ein Teil dieser Erlöse zur Finanzierung des Waffenprogramms des Landes beigetragen hat.
Den neuesten Erkenntnissen zufolge übernehmen Angreifer zunächst die Kontrolle über legitime Telegram-Konten von Führungskräften oder Mitarbeitern aus dem Krypto- und Fintech-Sektor. Anschließend nutzen sie diese vertrauenswürdigen Identitäten, um Kollegen, Investoren und Geschäftspartner zu kontaktieren und sie schließlich zu scheinbar legitimen Online-Meetings einzuladen. Während dieser fingierten Sitzungen werden die Opfer angewiesen, Software zu installieren oder Befehle auszuführen, um erfundene technische Probleme zu beheben, wodurch ihre Geräte letztendlich mit Malware infiziert werden. Telegram ist zu einem zentralen Kommunikationsinstrument in der gesamten Kryptowährungsbranche geworden und wird широко für Geschäftsabschlüsse, Projektkoordination und Community-Management verwendet, was kompromittierte Konten auf der Plattform besonders wirksam macht, um Zielgruppen zu erreichen, die dort routinemäßig sensible Geschäfte abwickeln.
Vertrauenswürdige Konten als Einfallstor
Forscher stellen fest, dass die Angreifer in erster Linie auf Social Engineering statt auf technische Exploits setzen. Durch die Übernahme authentischer Telegram-Konten umgehen sie die Skepsis, die normalerweise unaufgeforderten Nachrichten entgegengebracht wird. Dieser menschenorientierte Ansatz spiegelt einen branchenweit dokumentierten Trend wider: Da Börsen, Wallet-Anbieter und Verwahrer ihre technischen Verteidigungsmaßnahmen verstärkt haben, haben Bedrohungsakteure zunehmend darauf umgestellt, einzelne Mitarbeiter mit privilegiertem Zugriff zu täuschen, anstatt Code-Sperren zu durchbrechen.
Die Kampagne verläuft im Allgemeinen in mehreren Phasen:
- Kompromittierung eines vertrauenswürdigen Telegram-Kontos.
- Aufbau von Glaubwürdigkeit durch routinemäßige Gespräche.
- Vereinbarung eines gefälschten Zoom- oder Videomeetings.
- Überzeugung des Opfers, ein angebliches Audio- oder Software-Update zu installieren.
- Einsatz von Malware, die darauf ausgelegt ist, Zugangsdaten, Browserdaten und Kryptowährungs-Wallet-Informationen zu stehlen.
Ermittler haben mehrere Malware-Familien identifiziert, die darauf ausgelegt sind, langfristigen Zugriff aufrechtzuerhalten und gleichzeitig sensible Daten von infizierten Systemen zu sammeln. Die Operation richtet sich in erster Linie gegen Kryptowährungsunternehmen, Softwareentwickler, Wagniskapitalfirmen und andere Organisationen, die digitale Vermögenswerte verwalten oder darin investieren.
Wachsende Bedrohung für die Krypto-Branche
Cybersicherheits-Experten warnen, dass nordkoreanische Bedrohungsgruppen ihre Techniken kontinuierlich verfeinern, indem sie kompromittierte Messaging-Konten, ausgeklügeltes Social Engineering und in einigen Fällen KI-generierte Deepfake-Videos kombinieren, um die Glaubwürdigkeit zu erhöhen. Anstatt Blockchain-Netzwerke direkt anzugreifen, konzentrieren sich die Hacker zunehmend auf Mitarbeiter mit privilegiertem Zugriff auf Wallets, Cloud-Infrastruktur und interne Systeme. Analysten stellen fest, dass die Taktik frühere nordkoreanische Operationen widerspiegelt, die von Firmen wie Googles Mandiant und Slow Mist dokumentiert wurden, bei denen gefälschte Recruiter und Geschäftskontakte Krypto-Ingenieure dazu verleiteten, bösartigen Code unter dem Vorwand von Programmier-Tests oder Kollaborationstools auszuführen.
Die Kampagne unterstreicht die wachsende Bedeutung der Überprüfung unerwarteter Meeting-Anfragen, selbst wenn sie von vertrauten Telegram-Kontakten zu stammen scheinen. Sicherheitsfachleute empfehlen, Einladungen über separate Kommunikationskanäle zu bestätigen, unbekannte Software-Downloads zu vermeiden und starke Kontoschutzmaßnahmen zu aktivieren, um das Kompromittierungsrisiko zu verringern.