Microsoft-Bericht: Nordkoreanische Hacker erstellen mit KI massenhaft Köder – Dutzende Phishing-Dokumente in wenigen Minuten

Autor: DeepChao TechFlow
DeepChao-Einordnung: Generative KI verändert die Cyberkonfrontation grundlegend. Am 30. Oktober veröffentlichte die Abteilung für Bedrohungsanalysen von Microsoft einen umfassenden Bericht, der die besorgniserregende Ausweitung des KI-Einsatzes durch nordkoreanische Hackergruppen systematisch beleuchtet. Von den acht überwachten Gruppen haben bereits drei KI tief in den gesamten Ablauf ihrer täglichen Angriffe integriert.
Von der massenhaften Erstellung maßgeschneiderter PDF-Köder für Phishing-Angriffe innerhalb weniger Minuten bis hin zum Einsatz KI-gestützter Programmierwerkzeuge beim Verfassen schädlichen Codes: Die Effizienz und Tarnung der Angreifer haben sich sprunghaft verbessert. Noch bedenklicher ist, dass KI die Kette aus gefälschten Stellenangeboten und Identitätstäuschungen immer ausgefeilter macht und herkömmliche Abwehrsysteme damit vor große Herausforderungen stellt.
Microsoft geht zwar davon aus, dass die betreffenden Gruppen noch keinen vollständig autonomen Angriffskreislauf verwirklicht haben. Der praktische Einsatz quelloffener KI-Penetrationstest-Frameworks läutet jedoch bereits das Zeitalter des intelligenten Cyberkriegs ein. Dieser Wandel der Angriff- und Verteidigungsparadigmen stellt Unternehmen weltweit vor neue, umfassende Herausforderungen bei Endpoint-Schutz, Lieferkettenprüfungen und der Überprüfung von Zugangsdaten.
KI-gestützte Angriffe werden zum Alltag: Microsoft stuft drei Gruppen in die höchste Reifegradstufe ein
Wie [Yonhap berichtet](https://www.yna.co.kr/view/AKR20261030112900017?input=tw" \t "https://www.techflowpost.com/article/_blank), hat die Abteilung für Bedrohungsanalysen von Microsoft kürzlich einen Sonderbericht veröffentlicht. Darin werden die neuesten Entwicklungen beim verstärkten Einsatz von KI durch nordkoreanische Hackergruppen detailliert untersucht – von Phishing-Angriffen und Identitätstäuschungen über die Erstellung schädlichen Codes bis hin zur Manipulation von Softwarelieferketten.
Microsoft hat die Fähigkeiten von acht aktiven großen nordkoreanischen Hackergruppen systematisch bewertet. Anlass zur Sorge gibt, dass bereits drei davon KI-Werkzeuge tief in ihre alltäglichen Angriffsabläufe integriert haben und damit die höchste Stufe im von Microsoft definierten Reifegradmodell für den Einsatz von KI bei Cyberbedrohungen erreichen.
Die Untersuchung zeigt, dass KI längst nicht mehr nur in vorgelagerten Machbarkeitsnachweisen zum Einsatz kommt, sondern die gesamte Angriffskette abdeckt: von der anfänglichen Aufklärung über Social Engineering, Phishing und Identitätstäuschungen bis hin zur Erstellung von Schadsoftware und zur Manipulation von Softwarelieferketten. Dies markiert einen tiefgreifenden Wandel hin zu intelligenten Taktiken bei staatlich unterstützten APT-Gruppen.
Dutzende in wenigen Minuten: Hochrealistische PDF-Köder durchbrechen gezielt Abwehrmaßnahmen
Im Bereich Social Engineering hat KI die Sprach- und Kulturbarrieren früherer grenzüberschreitender Angriffe vollständig überwunden. Der Bericht hebt hervor, dass eine Gruppe zwischen August und September dieses Jahres gezielt südkoreanische Zielgruppen ins Visier nahm und mehr als 100 hochgradig maßgeschneiderte PDF-Köderdokumente erstellte.
Dank der Textgenerierungs- und Formatierungsfähigkeiten großer Sprachmodelle können Angreifer in manchen realen Einsatzszenarien innerhalb weniger Minuten Dutzende neue Köder erstellen. Die gefälschten Dokumente wirken in Grammatik, amtlichem Format und kontextuellen Details äußerst authentisch, wodurch die Klick- und Erfolgswahrscheinlichkeit erheblich steigt.
Durch diese industrielle Massenproduktion von Ködern sinken die Grenzkosten von Phishing-Angriffen gegen null. Herkömmliche Sicherheitsgateways, die auf statischen Dateimerkmalen und Schlüsselwortabgleichen beruhen, stehen angesichts riesiger Mengen KI-generierter Köder ohne wiederkehrende Muster vor beispiellosen Problemen mit übersehenen Bedrohungen und versagender Erkennung.
Gefälschte Identitäten und Codeassistenz: Verdeckte Ausweitung krimineller Netzwerke auf mehreren Ebenen
Neben Köderdokumenten kommt KI auch in großem Umfang bei gefälschten Stellenangeboten und Identitätstäuschungen zum Einsatz. Hacker nutzen Modelle, um Lebensläufe zu fälschen und in Technologieunternehmen einzudringen. (Weitere Details finden Sie in unserem empfohlenen Artikel: [US-Finanzministerium geht hart gegen nordkoreanische Krypto-Geldwäsche vor: Sanktionen gegen 10 Personen und ein Unternehmen](https://www.techflowpost.com/article/34955" \t "https://www.techflowpost.com/article/_blank))
Bei der Entwicklung und Abwehr von Schadcode beobachtet Microsoft, dass Angreiferteams möglicherweise gängige KI-Programmierassistenten wie Cursor einsetzen, um das Schreiben der grundlegenden Schadsoftwarelogik und das Testen von Umgehungsmethoden erheblich zu beschleunigen. Die breite Verfügbarkeit solcher Werkzeuge verkürzt nicht nur die Entwicklungszeit, sondern verwischt auch die individuellen Programmierstile der Hacker.
Darüber hinaus wurde bestätigt, dass die Elitegruppen Onyx Sleet und Pearl Sleet, die dem nordkoreanischen Aufklärungsbüro unterstehen, seit Ende Oktober das quelloffene KI-Penetrationstest-Framework ARTEX in realen Einsätzen verwenden. Dabei nutzen sie die Red-Team-Ergebnisse des Open-Source-Ökosystems, um Zielnetzwerke automatisiert auszukundschaften.
Der Wendepunkt zur Autonomie rückt näher: Die globale Cybersicherheit tritt in eine Ära intelligenter Konfrontation ein
Obwohl die Werkzeugketten der Angreifer immer ausgefeilter werden, zieht Microsoft in seinem Bericht auch eine vergleichsweise nüchterne Grenze für seine Einschätzung. Experten zufolge sind nordkoreanische Hackergruppen derzeit noch nicht in der Lage, vollständig autonome Angriffe durchzuführen. KI fungiert bislang vor allem als Leistungsbeschleuniger und Assistenzsystem.
Das bedeutet jedoch nicht, dass die Sicherheitsbranche die Lage auf die leichte Schulter nehmen kann. Der Übergang vom manuellen Feinschliff einzelner Skripte zu komplexen, gezielten Angriffen in großem Maßstab mit Mensch-KI-Zusammenarbeit verkürzt die Zeitfenster auf beiden Seiten drastisch. Die Verteidiger müssen rasch von herkömmlicher passiver Reaktion zu dynamischer, KI-gestützter Verhaltensüberwachung übergehen.
Mit der fortlaufenden Weiterentwicklung quelloffener großer Sprachmodelle und der Inferenz auf Endgeräten dürften Cyberangriffe auf kritische Infrastrukturen und Krypto-Finanzsysteme häufiger werden. Institutionen weltweit müssen ihre Schutzmaßnahmen bei Lieferkettenprüfungen, dem Sicherheitsbewusstsein der Mitarbeitenden und der Multifaktor-Authentifizierung dringend verstärken, um dem nahenden intelligenten Cybersturm zu begegnen.