Ein griechischer Sicherheitsforscher soll 22 Monate in nordkoreanischen Hacker-Servern verbracht haben. Er kam mit einer Opferliste von 1.640 Organisationen in 57 Ländern heraus.
Vangelis Stykas ist Chief Technology Officer bei der Sicherheitsfirma Kumio. Er präsentierte die Ergebnisse diese Woche bei Black Hat in Las Vegas.
Wie die Jäger zu den Gejagten wurden
Stykas drehte die übliche Reihenfolge um. Er arbeitete sich in die Command-and-Control-Server der Gruppen vor, die sie zur Ausführung ihrer Malware nutzen.
In einigen Fällen landete er auf ihren persönlichen Computern. Die Hacker hatten diese Maschinen selbst infiziert.
Dann blieb er einfach. Fast zwei Jahre lang beobachtete er sie bei der Arbeit und protokollierte jedes neue Opfer, das auftauchte.
Er zog ungefähr fünf Terabyte an Daten ab. Diese enthielten Entwickler-Schlüssel, privaten Quellcode und die eigenen Slack- und Discord-Nachrichten der Gruppen.
Dieser Zugang ist der Grund, warum die Zahl feststeht. Die meisten Bedrohungsberichte schätzen die Opfer von außen.
Dieser zählte sie aus den eigenen Dateien der Angreifer. Von den 1.640 Organisationen stuft Stykas 700 bis 800 als ernsthaft kompromittiert ein.
Folgen Sie uns auf X, um die neuesten Nachrichten in Echtzeit zu erhalten
In diesen Fällen hatten die Gruppen Root-Zugriff auf Server, Root-Berechtigungen für Amazon Web Services (AWS) oder Schlüssel für Kryptowährungs-Wallets.
Ein Jobangebot war das einzige Exploit, das sie benötigten
Kein Softwarefehler öffnete diese Türen. Ein Jobangebot tat es.
Entwickler wurden mit leitenden Positionen und hohem Gehalt angesprochen. Sie wurden dann gebeten, einen Take-Home-Coding-Test durchzuführen. Der Test installierte Malware.
Forscher von Palo Alto Networks nannten das Muster im November 2023 Contagious Interview. Fünf Sicherheitsfirmen haben seitdem dieselbe Gruppe unter sechs verschiedenen Bezeichnungen verfolgt.
Microsoft veröffentlichte im März 2026 eine eigene Analyse. Sie verfolgte die Kette zu gefälschten Code-Paketen, die auf GitHub, GitLab und Bitbucket gehostet wurden.
Das Öffnen eines solchen Pakets in Visual Studio Code löst eine Vertrauensaufforderung aus. Genehmigen Sie es, und der Editor führt den Code der Angreifer für sie aus.
„Durch die direkte Einbettung gezielter Malware-Lieferungen in Interview-Tools, Programmierübungen und Bewertungsabläufe, denen Entwickler von Natur aus vertrauen, nutzen Bedrohungsakteure das Vertrauen aus, das Arbeitssuchende in den Einstellungsprozess setzen“, heißt es in einem Auszug aus einem Sicherheitsblog von Microsoft im März.
Die Hintertüren suchen dann eine kurze Einkaufsliste. Microsoft nennt API-Token, Cloud-Anmeldeinformationen, Signierschlüssel, Krypto-Wallets und Dateien von Passwortmanagern.
Einstellungen sind ein wiederkehrender Schwachpunkt. Consensys entdeckte einen versteckten nordkoreanischen Entwickler in seinem eigenen Team, einen Monat nach Beginn der Arbeit am MetaMask-Code.
Ein Auftragnehmer, dreißig Eingangstüren
Der Köder ist billig. Die Reichweite ist es nicht.
Stykas fand Auftragnehmer, die lebende Zugangsdaten für bis zu 30 Unternehmen trugen. Ein einzelner infizierter Laptop wurde zu dreißig Wegen hinein.
Das Boston Children’s Hospital zeigt das Muster. Stykas verfolgte seine Exposition auf ein persönliches Gerät eines ehemaligen Auftragnehmers zurück.
Das Krankenhaus bestreitet die Darstellung. Es sagt, es habe die Zugangsdaten innerhalb von Stunden gesperrt und keine Anzeichen gefunden, dass auf die eigenen Systeme zugegriffen wurde.
Die Teams waren auch wählerisch. Sie konnten auf Gesundheitsakten und Kriminaldatenbanken zugreifen, ignorierten jedoch beide.
Stattdessen gingen sie auf Geldbörsen und Blockchain-Zugriff. Coinbase und Uniswap Labs gehören zu den Organisationen, die auf seine Warnungen reagierten.
Diese Disziplin zeigt sich in den Gesamtsummen. Teams, die mit der Demokratischen Volksrepublik Korea (DVRK) verbunden sind, stahlen im Jahr 2025 angeblich 2,02 Milliarden Dollar in digitalen Vermögenswerten.
CrowdStrike verzeichnete das als einen Anstieg von 51 % in einem Jahr. Es hebt auch ein Team hervor, das es GOLDEN CHOLLIMA nennt, weil es Rekrutierungsköder verwendet, um auf Fintech-Cloud-Umgebungen zuzugreifen.
Das ist die Kette, die Stykas von innen beobachtete. Der menschliche Weg gewinnt weiterhin.
TRM Labs verfolgte den Diebstahl des Drift Protocol im April in Höhe von 285 Millionen Dollar auf persönliche Treffen zwischen nordkoreanischen Stellvertretern und Mitarbeitern zurück.
Zwei Angriffe verursachten 76 % der Verluste im Jahr 2026 aus nur 3 % der Vorfälle. Pyongyangs Gesamtsumme beläuft sich nun auf über 6 Milliarden Dollar seit 2017.
Stykas sagt, dass frische Opfer weiterhin in den Daten auftauchen. Die meisten Organisationen, warnte er, haben nie zurückgeschrieben, weshalb Gruppen wie Crypto ISAC jetzt DPRK-Bedrohungsinformationen bündeln.
Quelle: BeInCrypto
