SEOUL / MÜNCHEN (IT BOLTWISE) – Eine nordkoreanische Hackergruppe, bekannt unter dem Namen Kimsuky oder APT43, hat eine ausgeklügelte Cyberkampagne gestartet, die sich gegen südkoreanische Unternehmen, Regierungsstellen und die Kryptowährungsbranche richtet.
Die Bedrohung durch Cyberangriffe aus Nordkorea nimmt weiter zu, wie eine aktuelle Kampagne der Hackergruppe Kimsuky zeigt. Diese Gruppe, auch bekannt als APT43, hat sich auf südkoreanische Unternehmen und Regierungsstellen spezialisiert und nutzt dabei fortschrittliche Techniken, um ihre Ziele zu erreichen. Die Angriffe, die unter dem Namen DEEP#DRIVE bekannt sind, zeichnen sich durch den Einsatz von PowerShell-Skripten und die Nutzung von Dropbox zur Datenexfiltration aus.
Die Angreifer verwenden maßgeschneiderte Phishing-Köder, die in koreanischer Sprache verfasst und als legitime Dokumente getarnt sind. Diese Dokumente werden in Form von .HWP-, .XLSX- und .PPTX-Dateien versendet und enthalten vermeintlich harmlose Inhalte wie Arbeitsprotokolle oder Versicherungsdokumente. Sobald die Empfänger diese Dateien öffnen, wird ein Infektionsprozess ausgelöst, der es den Angreifern ermöglicht, in die Systeme einzudringen.
Ein bemerkenswertes Merkmal dieser Angriffe ist die starke Abhängigkeit von PowerShell-Skripten, die in verschiedenen Phasen der Angriffe eingesetzt werden. Diese Skripte dienen nicht nur der Bereitstellung von Schadsoftware, sondern auch der Durchführung von Aufklärungsmaßnahmen und der Ausführung von Befehlen. Dropbox wird dabei als Plattform zur Verteilung von Schadsoftware und zur Exfiltration von Daten genutzt, was es den Angreifern ermöglicht, traditionelle Sicherheitsmaßnahmen zu umgehen.
Der Angriff beginnt mit einem ZIP-Archiv, das eine Windows-Verknüpfungsdatei (.LNK) enthält, die als legitimes Dokument getarnt ist. Beim Öffnen dieser Datei wird ein PowerShell-Code ausgeführt, der ein Köderdokument von Dropbox abruft und anzeigt, während gleichzeitig eine Persistenz auf dem Windows-Host durch eine geplante Aufgabe namens “ChromeUpdateTaskMachine” hergestellt wird.
Ein Beispiel für ein solches Köderdokument ist ein in koreanischer Sprache verfasster Sicherheitsarbeitsplan für den Betrieb von Gabelstaplern in einer Logistikeinrichtung. Dieses Dokument behandelt die sichere Handhabung schwerer Lasten und beschreibt Maßnahmen zur Einhaltung von Sicherheitsstandards am Arbeitsplatz.
Die Verwendung von OAuth-Token-basierter Authentifizierung für die Interaktionen mit der Dropbox-API ermöglicht eine nahtlose Exfiltration von Aufklärungsdaten wie Systeminformationen und aktiven Prozessen in vorbestimmte Ordner. Diese cloudbasierte Infrastruktur stellt eine effektive, aber unauffällige Methode zum Hosten und Abrufen von Schadsoftware dar und umgeht traditionelle IP- oder Domain-Blocklisten.
Die Infrastruktur der Angreifer scheint dynamisch und kurzlebig zu sein, was durch die schnelle Entfernung von Schlüsselverbindungen nach den ersten Phasen des Angriffs belegt wird. Diese Taktik erschwert nicht nur die Analyse, sondern deutet auch darauf hin, dass die Angreifer ihre Kampagnen aktiv überwachen, um die operationale Sicherheit zu gewährleisten.
Obwohl die letzte Phase des Angriffs fehlt, hebt die Analyse die ausgeklügelten Techniken hervor, die eingesetzt werden, um eine Erkennung zu vermeiden und die Reaktion auf Vorfälle zu erschweren. Dazu gehören Verschleierung, unauffällige Ausführung und dynamische Dateiverarbeitung, die das Ziel der Angreifer verdeutlichen, unentdeckt zu bleiben.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- Service Directory für AI Adult Services erkunden!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
Stellenangebote
Produktmanager (m|w|d) Schwerpunkt KI Software
Consultant (w/m/d) Data Science & AI (all levels)
Werkstudent (m/w/d) - Compliance, Datenschutz und künstliche Intelligenz
Produktmanager KI-Software (m/w/d)
- Die Zukunft von Mensch und MaschineIm neuen Buch des renommierten Zukunftsforschers und Technologie-Visionärs Ray Kurzweil wird eine faszinierende Vision der kommenden Jahre und Jahrzehnte entworfen – eine Welt, die von KI durchdrungen sein wird
- Künstliche Intelligenz: Expertenwissen gegen Hysterie Der renommierte Gehirnforscher, Psychiater und Bestseller-Autor Manfred Spitzer ist ein ausgewiesener Experte für neuronale Netze, auf denen KI aufbaut
- Obwohl Künstliche Intelligenz (KI) derzeit in aller Munde ist, setzen bislang nur wenige Unternehmen die Technologie wirklich erfolgreich ein
- Wie funktioniert Künstliche Intelligenz (KI) und gibt es Parallelen zum menschlichen Gehirn? Was sind die Gemeinsamkeiten von natürlicher und künstlicher Intelligenz, und was die Unterschiede? Ist das Gehirn nichts anderes als ein biologischer Computer? Was sind Neuronale Netze und wie kann der Begriff Deep Learning einfach erklärt werden?Seit der kognitiven Revolution Mitte des letzten Jahrhunderts sind KI und Hirnforschung eng miteinander verflochten
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Nordkoreanische Hackergruppe nutzt PowerShell und Dropbox für Angriffe auf Südkorea" für unsere Leser?
#Sophos
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Nordkoreanische Hackergruppe nutzt PowerShell und Dropbox für Angriffe auf Südkorea" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die deutsche Google-Suchmaschine für eine weitere Themenrecherche: »Nordkoreanische Hackergruppe nutzt PowerShell und Dropbox für Angriffe auf Südkorea« bei Google Deutschland suchen und bei Google News recherchieren!