Die mit Nordkorea verbundene Hackergruppe Kimsuky hat drei lokale KI-Umgebungen aufgebaut, als Teil der Vorbereitungen für Cyberangriffe auf Kryptowährungs- und Finanzunternehmen, so neue Cybersicherheitsforschung.
Zusammenfassung
- Kimsuky hat drei lokale KI-Umgebungen mit Ollama, GPT4All und Msty aufgebaut.
- Die mit Nordkorea verbundene Gruppe nutzt KI für Malware-Entwicklung, Datenanalyse und Angriffsautomatisierung.
- Kimsuky hat KI-generiertes Phishing-Material erstellt, das auf Krypto-, Investment- und Fintech-Unternehmen abzielt.
- Nordkoreanische Hacker stahlen im Jahr 2025 schätzungsweise 2,02 Milliarden US-Dollar in Kryptowährung.
Genians, ein südkoreanisches Cybersicherheitsunternehmen, sagte in einem am Montag veröffentlichten Bericht, dass es Beweise dafür gefunden habe, dass Kimsuky lokale Umgebungen für große Sprachmodelle über Ollama, GPT4All und Msty betreibt, was der Gruppe Zugang zu KI-Tools verschafft, die ohne Abhängigkeit von externen Cloud-Diensten ausgeführt werden können.
Kimsuky hat lokale KI-Systeme für Cyberangriffe aufgebaut
Das lokale Ausführen von Modellen ermöglicht es den Betreibern, Abfragen zu stellen, ohne potenziell sensible Angriffsinformationen an Drittanbieter von KI zu senden. Laut der Forschung unterstützen die Umgebungen auch die retrieval-augmentierte Generierung, die ein KI-Modell mit zusätzlichen Informationen verbinden kann, die vom Betreiber bereitgestellt werden.
Neben den drei Umgebungen fanden die Forscher Bibliotheken und Frameworks, die Sprachmodelle in benutzerdefinierte Software einbetten können. Kimsuky hatte auch den KI-Codierungsassistenten Cursor und Sprach-zu-Text-Tools gesammelt, als es seine KI-Infrastruktur aufbaute.
Anstatt neue KI-Modelle zu entwickeln, konzentrierte sich die von Genians untersuchte Aktivität darauf, vorhandene Open-Source-Technologie für die Malware-Entwicklung, Datenanalyse und Angriffsautomatisierung einzusetzen.
Das Unternehmen bewertete, dass die Aktivität über isolierte Tests hinausgegangen ist, da Kimsuky kontinuierlich darauf vorbereitet war, KI in operative Angriffsfähigkeiten zu integrieren. Die Ergebnisse zeigten jedoch nicht, dass die Gruppe proprietäre KI-Modelle von Grund auf entwickelt.
Das Halten der Modelle auf lokaler Infrastruktur könnte es den Hackern auch ermöglichen, mit Informationen zu arbeiten, ohne sie an externe Cloud-Systeme zu übermitteln, so der Bericht. Die Sammlung unterstützender Software deutet darauf hin, dass die KI-Umgebungen Teil eines größeren technischen Aufbaus sind und nicht nur als eigenständige Chat-Tools fungieren.
KI-generierte Phishing-Dokumente zielen auf Krypto-Unternehmen ab
Kimsuky hat laut Genians auch weiterhin generative KI verwendet, um Phishing-Material vorzubereiten, das sich auf Kryptowährung, Anlagestrategien und Fintech-Dienste konzentriert.
Die Forscher identifizierten ausgefeilte Dokumente, die Material, das mit einer koreanischen KI-gestützten Investmentplattform verbunden ist, genau kopierten. Die Dateien verwendeten natürliche Sprache, konsistente Formatierung und professionelle Designelemente, die das Cybersicherheitsunternehmen mit KI-generierten Inhalten in Verbindung brachte.
Solches Material bietet eine weitere Verwendung für die KI-Infrastruktur der Gruppe über das Programmieren und die Datenverarbeitung hinaus. Anstatt sich nur auf schlecht geschriebene Phishing-E-Mails zu verlassen, können die Betreiber generative Tools verwenden, um Dokumente vorzubereiten, die um finanzielle Themen herum gestaltet sind, die für ihre beabsichtigten Ziele relevant sind.
Die Ergebnisse fügen Kimsuky zu einer Reihe von mit Nordkorea verbundenen Operationen hinzu, die neuere technische und sozialtechnische Methoden gegen die Kryptowährungsindustrie einsetzen.
Im Juli berichtete das Cybersicherheitsunternehmen JUMPSEC, dass BlueNoroff, eine andere mit Nordkorea verbundene Gruppe, gefälschte Zoom- und Microsoft-Teams-Meetings betrieb, die Kryptowährungsnutzer profilierten, bevor Malware zugestellt wurde.
JUMPSEC stellte Quellcode aus einem aktiven Phishing-Kit wieder her, nachdem dessen Betreiber versehentlich JavaScript-Quellkarten offengelegt hatten. Der Code enthielt Wallet-Scan-Funktionen, Bedienerkontrollen und separate Malware-Zustellungsrouten für Windows und macOS.
Sobald ein Ziel eine gefälschte Meeting-Seite betrat, prüfte das System auf Ethereum-Wallet-Verbindungen und Nicht-EVM-Wallets, einschließlich Solana-Tools, bevor es die Ergebnisse an ein Bedienerpanel sendete. Windows-Implants konnten auch Browsererweiterungen in Chrome, Edge, Brave, Opera, Vivaldi und Firefox-Varianten identifizieren, sodass Bediener nach Wallets wie MetaMask suchen konnten.
Die Angreifer konnten dann basierend auf den vom Ziel gesammelten Informationen entscheiden, ob sie den Eindringungsversuch fortsetzen, fand JUMPSEC.
Nordkoreanische Hacker kombinieren KI mit Social Engineering
KI tauchte auch in BlueNoroffs gefälschter Meeting-Operation auf, wenn auch in einer anderen Rolle als die lokalen Modelle, die in der Kimsuky-Forschung identifiziert wurden.
Laut JUMPSEC kombinierten die Betreiber KI-generierte Porträts mit Körperbewegungen aus früheren Meetings, um überzeugende Teilnehmer für gefälschte Videoanrufe zu erstellen. Opfer konnten über ein Telegram-Konto eines echten Kontakts ankommen, dessen Konto bereits kompromittiert war, bevor sie eine Calendly-Einladung erhielten, die sie auf eine gefälschte Meeting-Domain umleitete.
Während des Anrufs konnte ein Betreiber ein vorbereitetes Video anzeigen, Nachrichten über ein angebliches Mikrofonproblem senden und ein gefälschtes Zoom-Software-Update auslösen. Unter Windows nutzte der resultierende ClickFix-Prozess PowerShell und VBScript, während der macOS-Weg einen gefälschten Meeting-Installer zusammen mit informationsstehlender Malware lieferte.
Arctic Wolf hatte zuvor mehr als 80 nachgebaute Zoom- und Teams-Domains identifiziert, die mit verwandten Operationen in Verbindung standen. Etwa 80 % der identifizierten Ziele arbeiteten in Krypto-, Blockchain-Finanz- oder verbundenen Investmentsektoren, während Gründer und Geschäftsführer 45 % der identifizierten Ziele ausmachten.
Nordkoreanische Operationen haben auch versucht, Zugang von innerhalb von Krypto-Unternehmen zu erhalten, anstatt sich ausschließlich auf Phishing oder Malware zu verlassen.
Im Juli stoppte Consensys vorübergehend Produktveröffentlichungen, nachdem entdeckt wurde, dass ein mit Nordkorea verbundener Berater für etwa einen Monat Zugang zu seinen Systemen erhalten hatte, so Drop Site News.
Der Berater, der unter dem Namen Tyler Knapp operierte und den GitHub-Handle „imyugioh“ verwendete, trug zum Kerncode der MetaMask-Plattform bei, einschließlich Komponenten, die Kryptowährungsnutzer mit Drittanbieter-Fiat-Zahlungsanbietern verbinden.
Consensys-Generalanwalt Matt Corva sagte, ein externer Dienstleister habe den Berater in das Unternehmen eingeführt. Das Unternehmen beendete seinen Zugang, nachdem es die Bedrohung identifiziert hatte, und sagte, seine Untersuchung habe keine gestohlenen Vermögenswerte oder Daten, bösartigen Code oder Auswirkungen auf die Benutzersicherheit gefunden.
Separate Forschung des Ketman-Projekts identifizierte etwa 100 mutmaßliche nordkoreanische IT-Mitarbeiter, die unter falschen Identitäten in 53 Krypto- und Web3-Projekten arbeiteten. Ermittler verfolgten auch mutmaßliche Gruppen über 11 Code-Repositories, in denen Projekte bereits 62 Pull-Requests zusammengeführt hatten, bevor die Aktivität entdeckt wurde.
Nordkorea stahl 2025 mehr als 2 Milliarden Dollar in Krypto
Die Entwicklung von KI-gestützter Angriffsinfrastruktur erfolgt, nachdem nordkoreanische Hackergruppen im Jahr 2025 schätzungsweise 2,02 Milliarden Dollar in Kryptowährung gestohlen haben, so Chainalysis-Daten, die zuvor von crypto.news berichtet wurden.
Der Großteil der Verluste des Jahres stammte aus dem Angriff auf Bybit im Februar 2025, bei dem mehr als 400.000 Ether und gestaktes Ether im Wert von etwa 1,5 Milliarden Dollar gestohlen wurden. Das FBI führte den Verstoß auf Nordkorea zurück und identifizierte die Verantwortlichen unter seiner TraderTraitor-Bezeichnung.
Bybit hat den Streit seitdem vor ein US-Bundesgericht gebracht. Am 8. August verklagte die Börse die Demokratische Volksrepublik Korea, ihre Geheimdienstbehörde Reconnaissance General Bureau und die Lazarus-Gruppe vor dem US-Bezirksgericht für den District of Columbia.
Die Börse erwirkte auch eine einstweilige Verfügung, die bestimmte gestohlene Vermögenswerte betrifft, die von nicht identifizierten Beklagten gehalten werden. Die Anordnung verhindert, dass die identifizierten Vermögenswerte übertragen, verkauft oder anderweitig veräußert werden, während das Zivilverfahren läuft, stellt jedoch keine endgültige Entscheidung über Eigentum oder Haftung dar.
Die Blockchain-Verfolgung wurde nach dem Bybit-Diebstahl zunehmend schwieriger, da die Angreifer Vermögenswerte in Bitcoin umwandelten und Gelder über Tausende von Wallets verteilten. Bis April 2025 sagte Bybit-CEO Ben Zhou, dass 27,6 % der gestohlenen Gelder nicht mehr verfolgt werden konnten.
Forscher haben auch gewarnt, dass KI die Zeit reduzieren könnte, die Angreifer benötigen, um Schwachstellen in Software zu identifizieren. NEAR-Protocol-Mitbegründer Illia Polosukhin hat gesagt, dass KI die Fähigkeit von Hackern erhöht, Schwachstellen schneller zu finden, als konventionelle Sicherheitsprozesse sie patchen können.
Der 100-Millionen-Dollar-Coldcard-Bitcoin-Hardware-Wallet-Exploit wird ebenfalls vermutet, von einer obskuren, mit KI entdeckten Schwachstelle zu stammen. Getrennt davon nutzen nordkoreanische Betreiber weiterhin Phishing, gefälschte Remote-Mitarbeiter und kompromittierte Online-Identitäten, während die neueste Genians-Forschung zeigt, dass Kimsuky lokale KI-Modelle für Malware-Entwicklung, Datenanalyse und Angriffsautomatisierung vorbereitet.
