Nordkoreanische Hackergruppe Kimsuky setzt auf langfristige Systemzugänge

Auf der Sicherheitskonferenz KCSCON 2026 in Seoul hat ein Forscher von ENKI WhiteHat dargelegt, dass die nordkoreanische Hackergruppe Kimsuky ihre Taktik geändert hat. Statt sich nur auf gezielte Phishing-Angriffe zu beschränken, konzentriert sich die Gruppe nun darauf, nach dem initialen Eindringen in Systeme einen dauerhaften Zugriff zu sichern. Diese Entwicklung wurde im Rahmen einer Präsentation über die Strategien der Gruppe für das Jahr 2026 vorgestellt.

Die Gruppe Kimsuky, die seit 2014 bekannt ist, richtet ihre Angriffe primär gegen militärische, staatliche und öffentliche Einrichtungen in Südkorea. Ziel ist der Diebstahl von Informationen. Die jüngsten Beobachtungen zeigen, dass die Angreifer normale Arbeitsabläufe als Tarnung nutzen, um ihre Opfer zu täuschen. Anstatt sofort schädliche Dateien zu senden, initiieren sie zunächst scheinbar normale E-Mail-Korrespondenzen. Erst wenn das Opfer antwortet, wird eine Datei im Format einer Verknüpfung übergeben, die wie ein normales Dokument aussieht, aber schädlichen Code enthält.

Zusätzlich zu E-Mails nutzen die Angreifer gefälschte Videokonferenz-Seiten. Diese Seiten imitieren bekannte Dienste und zeigen einen Fehler an, der behauptet, die Kamera funktioniere nicht. Die Nutzer werden daraufhin aufgefordert, ein sogenanntes Kamera-Patch-Script herunterzuladen und zu installieren. Nach der Ausführung des schädlichen Codes wird wieder ein normales Anmeldebildschirm angezeigt, was es dem Opfer erschwert, die Infektion zu bemerken. Auch gefälschte Download-Seiten für Sicherheitssoftware wurden als Angriffsvektor identifiziert.

Ein zentraler Aspekt der neuen Strategie ist die Sicherung des Zugangs nach dem ersten Eindringen. Die Angreifer nutzen Systemfunktionen wie den Windows-Task-Planer und den Autostart-Eintrag im Registry, um sicherzustellen, dass der schädliche Code nach einem Neustart automatisch erneut ausgeführt wird. Zudem werden legitime Fernwartungsprogramme wie Chrome Remote Desktop und AnyDesk missbraucht. Bei der Nutzung von AnyDesk werden die Anzeigeelemente in der Taskleiste und im Systemtray verborgen, um die Präsenz des Programms zu verschleiern.

Weitere Methoden umfassen das Erstellen verborgener Administrator-Konten und die Freigabe des Ports 3389 für das Remote Desktop Protocol. Proxy-Werkzeuge werden eingesetzt, um den direkten Zugriff von außen zu umgehen. Auch Browser-Erweiterungen werden genutzt, um Informationen aus E-Mail-Diensten wie Gmail abzugreifen. In einigen Fällen deutet der Code darauf hin, dass generative Künstliche Intelligenz bei der Erstellung der schädlichen Programme zum Einsatz kam, was den technischen Aufwand für die Angreifer senkt.

Die Angreifer hosten ihre Werkzeuge und gestohlenen Daten auf legitimen Code-Hosting-Plattformen wie GitHub, GitLab und Codeberg. In manchen Repositorien wurden Dateinamen und Kommentare in koreanischer Sprache gefunden. Die Angriffe richten sich nicht nur gegen Südkorea, sondern auch gegen Ziele in Japan und der Ukraine, wobei Dokumente zu Sicherheitsfragen zwischen Nordkorea, China und Russland als Köder dienen. Experten empfehlen, nicht nur auf schädliche Dateien zu achten, sondern auch nach ungewöhnlichen geplanten Aufgaben, unbekannten Fernwartungsprogrammen und Browser-Erweiterungen zu suchen.