Cyberangriffe durch Kimsuky
Die mit Nordkorea verbundene Hackergruppe Kimsuky hat drei lokale KI-Umgebungen eingerichtet, um Cyberangriffe auf Kryptowährungs- und Finanzunternehmen zu automatisieren, wie eine aktuelle Cybersecurity-Studie zeigt. Genians, ein südkoreanisches Cybersecurity-Unternehmen, berichtete in einem am Montag veröffentlichten Bericht, dass es Beweise dafür gefunden hat, dass Kimsuky lokale Umgebungen für große Sprachmodelle über Ollama, GPT4All und Msty betreibt.
Lokale KI-Umgebungen
Diese Umgebungen ermöglichen der Gruppe den Zugang zu KI-Tools, die ohne externe Cloud-Dienste betrieben werden können. Das Betreiben von Modellen auf lokaler Infrastruktur erlaubt es den Hackern, Anfragen zu stellen, ohne potenziell sensible Informationen über ihre Angriffe an Drittanbieter weiterzugeben. Laut der Studie unterstützen die Umgebungen auch retrieval-augmented generation, die es einem KI-Modell ermöglicht, zusätzliche Informationen zu nutzen, die von seinem Betreiber bereitgestellt werden.
Neben den drei Umgebungen fanden die Forscher Bibliotheken und Frameworks, die es ermöglichen, Sprachmodelle in benutzerdefinierte Software zu integrieren. Kimsuky hatte auch den KI-Coding-Assistenten Cursor und Spracherkennungstools gesammelt, während es seine KI-Infrastruktur aufbaute.
Verwendung von Open-Source-Technologien
Anstatt neue KI-Modelle zu entwickeln, konzentrierte sich die von Genians untersuchte Aktivität darauf, bestehende Open-Source-Technologien für die Malware-Entwicklung, Datenanalyse und Angriffsautomatisierung zu nutzen. Das Unternehmen stellte fest, dass die Aktivitäten über isolierte Tests hinausgegangen waren, da Kimsuky kontinuierlich darauf vorbereitet war, KI in operative Angriffskapazitäten zu integrieren.
„Die Ergebnisse zeigten jedoch nicht, dass die Gruppe proprietäre KI-Modelle von Grund auf entwickelte.“
Das Halten der Modelle auf lokaler Infrastruktur könnte den Hackern auch ermöglichen, mit Informationen zu arbeiten, ohne sie an externe Cloud-Systeme zu übermitteln, so der Bericht. Die Sammlung unterstützender Software deutet darauf hin, dass die KI-Umgebungen Teil eines größeren technischen Setups sind, anstatt nur als eigenständige Chat-Tools zu fungieren.
Generative KI und Phishing
Kimsuky hat auch weiterhin generative KI genutzt, um Phishing-Material zu erstellen, das sich auf Kryptowährung, Anlagestrategien und Fintech-Dienste konzentriert, so Genians. Die Forscher identifizierten ausgefeilte Dokumente, die eng mit Material einer koreanischen KI-gestützten Investitionsplattform übereinstimmten. Diese Dateien verwendeten natürliche Sprache, konsistente Formatierung und professionelle Designelemente, die das Cybersecurity-Unternehmen mit KI-generierten Inhalten in Verbindung brachte.
Solches Material bietet eine weitere Verwendung für die KI-Infrastruktur der Gruppe über Codierung und Datenverarbeitung hinaus. Anstatt sich nur auf schlecht geschriebene Phishing-E-Mails zu verlassen, können die Betreiber generative Tools nutzen, um Dokumente zu erstellen, die auf finanziellen Themen basieren, die für ihre beabsichtigten Ziele relevant sind.
Nordkoreanische Operationen und neue Methoden
Die Ergebnisse fügen Kimsuky einer Reihe von mit Nordkorea verbundenen Operationen hinzu, die neuere technische und soziale Ingenieurmethoden gegen die Kryptowährungsindustrie einsetzen. Im Juli berichtete das Cybersecurity-Unternehmen JUMPSEC, dass BlueNoroff, eine weitere mit Nordkorea verbundene Gruppe, gefälschte Zoom- und Microsoft Teams-Meetings betrieb, um Kryptowährungsnutzer zu profilieren, bevor Malware ausgeliefert wurde.
JUMPSEC stellte den Quellcode eines aktiven Phishing-Kits wieder her, nachdem die Betreiber versehentlich JavaScript-Quellkarten offengelegt hatten. Der Code enthielt Funktionen zum Scannen von Wallets, Betreiberkontrollen und separate Malware-Lieferwege für Windows und macOS.
Angriffe auf Krypto-Unternehmen
Nordkoreanische Operationen haben auch versucht, von innen auf Krypto-Unternehmen zuzugreifen, anstatt sich ausschließlich auf Phishing oder Malware zu verlassen. Im Juli stoppte Consensys vorübergehend Produktveröffentlichungen, nachdem entdeckt wurde, dass ein Berater, der mit Nordkorea in Verbindung stand, etwa einen Monat lang Zugang zu seinen Systemen erhalten hatte, so Drop Site News.
Der Berater, der unter dem Namen Tyler Knapp operierte und den GitHub-Namen „imyugioh“ verwendete, trug zum Kerncode der MetaMask-Plattform bei. Das Unternehmen beendete seinen Zugang, nachdem die Bedrohung identifiziert wurde, und sagte, seine Untersuchung habe keine gestohlenen Vermögenswerte oder Daten, keinen bösartigen Code oder Auswirkungen auf die Sicherheit der Benutzer gefunden.
Die Rolle von KI in Cyberangriffen
Die Entwicklung von KI-unterstützter Angriffs-Infrastruktur erfolgt, nachdem nordkoreanische Hackergruppen schätzungsweise 2,02 Milliarden Dollar in Kryptowährung im Jahr 2025 gestohlen haben, laut Chainalysis-Daten. Der Großteil der Verluste des Jahres resultierte aus dem Angriff im Februar 2025 auf Bybit, bei dem mehr als 400.000 Ether und gestakte Ether im Wert von etwa 1,5 Milliarden Dollar gestohlen wurden.
Das FBI machte den Vorfall Nordkorea verantwortlich und identifizierte die dafür verantwortlichen Akteure unter seiner TraderTraitor-Bezeichnung. Bybit hat den Streit inzwischen vor ein US-Bundesgericht gebracht.
Schlussfolgerung
Die Blockchain-Nachverfolgung wurde nach dem Diebstahl von Bybit zunehmend schwierig, da die Angreifer Vermögenswerte in Bitcoin umwandelten und Gelder über Tausende von Wallets verteilten. Forscher haben auch gewarnt, dass KI die Zeit, die Angreifer benötigen, um Schwachstellen in Software zu identifizieren, verkürzen könnte. Die neuesten Genians-Forschungen zeigen, dass Kimsuky lokale KI-Modelle für Malware-Entwicklung, Datenanalyse und Angriffsautomatisierung vorbereitet.
