Microsoft zufolge setzen drei nordkoreanische Hackergruppen KI inzwischen bei ihren täglichen Angriffen ein – die höchste Stufe auf der Skala des Unternehmens. Microsoft stuft den allgemeinen Einsatz von KI beim Hacken durch Nordkorea als hoch ein. Der Bericht erschien, während Nordkorea für den größten Krypto-Diebstahl aller Zeiten verantwortlich gemacht wird: den Binance-Hack im Wert von 6,36 Milliarden US-Dollar.

In einem am Donnerstag veröffentlichten Bericht ordnete Microsoft Threat Intelligence acht der aktivsten Hackergruppen Nordkoreas auf einer vierstufigen Skala ein. Die Stufen heißen aufkommend, expandierend, beschleunigend und operationalisiert. „Operationalisiert“ ist die höchste Stufe und bedeutet, dass KI Teil der gesamten Operation der Gruppe ist. Jade Sleet, Coral Sleet und Jasper Sleet befinden sich auf der höchsten Stufe, während Diamond Sleet, Onyx Sleet, Pearl Sleet und Sapphire Sleet der Stufe „beschleunigend“ angehören. Emerald Sleet befindet sich auf der Stufe „expandierend“, und derzeit gehört keine Gruppe der Stufe „aufkommend“ an.

Microsoft beleuchtet die Vorgehensweise dieser Gruppen

Microsoft brachte die Aktivitäten mit bestimmten Gruppen in Verbindung. Zunächst führte Jade Sleet innerhalb einer Woche Kampagnen über drei Scheinfirmen durch. Anschließend fand Coral Sleet einen Weg, Malware in privaten Code-Repositories einzuschleusen, erstellte Onyx Sleet innerhalb weniger Minuten Dutzende maßgeschneiderte Phishing-Nachrichten und nutzte Diamond Sleet KI, um gefälschte Personen und Briefkastenfirmen zu erschaffen und so seine Ziele zu täuschen. Eine Gruppe soll im August und September mehr als 100 maßgeschneiderte PDF-Köder erstellt haben, die auf Nutzer in Südkorea abzielten.

Früher dauerte solche Arbeit für jedes Ziel mehrere Tage. Die Gruppen nutzten außerdem KI-gestützte Programmierwerkzeuge. Microsoft zufolge verwendeten die Angreifer Tools wie Cursor, um Code zu schreiben, Fehler zu beheben und Methoden zur Umgehung der Entdeckung zu entwickeln. Onyx Sleet und Pearl Sleet setzten ARTEX ein, ein Open-Source-Tool, mit dem Systeme auf Schwachstellen geprüft werden. Es lässt sich mit einem KI-Modell verknüpfen und damit beauftragen, selbstständig Ziele auszukundschaften. Eine mit China verbundene Gruppe, Storm-0940, soll ARTEX gegen ConnectWise eingesetzt haben.

Microsofts Analysten sind der Ansicht, dass Menschen weiterhin hauptsächlich die Kontrolle über die Hackeroperationen Nordkoreas haben und KI lediglich nutzen, um bereits zuvor ausgeführte Arbeiten der Gruppen zu beschleunigen, etwa das Auskundschaften von Zielen, das Erstellen von Phishing-Inhalten und die Aufrechterhaltung gefälschter Identitäten. Microsoft zufolge gehören Kryptobörsen und Finanzunternehmen zu den häufigsten Zielen nordkoreanischer Cyberoperationen, da es dabei vor allem darum geht, Geld für das Regime zu beschaffen und Informationen zu sammeln. Bislang gibt es keine Belege dafür, dass die Angreifer beim Binance-Hack KI eingesetzt haben. Auch stellt Microsofts Bericht keinen Zusammenhang zwischen dem Diebstahl bei Binance und einer KI-Technik her.

Der Binance-Hack, der als größter Kryptodiebstahl aller Zeiten bezeichnet wurde, ereignete sich am 29. Oktober. Das Blockchain-Forschungsunternehmen TRM Labs erklärte, ein Angreifer habe rund 6,36 Milliarden US-Dollar aus Binance-Wallets über zehn Blockchains hinweg abgezogen, den Großteil davon innerhalb von etwa 20 Minuten. TRM machte TraderTraitor dafür verantwortlich, die nordkoreanische Elite-Hackereinheit, wie das Unternehmen sie bezeichnet, und erklärte, man sei sich dieses Ergebnisses sehr sicher. Jonathan Levin, Mitgründer von Chainalysis, kam auf X zum selben Schluss.

Cryptopolitan berichtete, dass Binance in seiner eigenen Darstellung des Vorfalls erläutert, wie die Angreifer eindrangen, nicht aber, welche Werkzeuge sie verwendeten. Zunächst erklärte die Börse, der Laptop eines gehackten Mitarbeiters habe als Einfallstor gedient. Eine spätere Untersuchung ergab jedoch weitere „Einbruchspunkte“. Binance hat rund 3 Milliarden US-Dollar der gestohlenen Gelder eingefroren, Auszahlungen ausgesetzt und versprochen, die Verluste der Nutzer zu ersetzen.

Der Beitrag „Microsoft sagt, nordkoreanische Hacker gehören zu den führenden KI-Anwendern“ erschien zuerst auf Coinfea.