Nordkorea-Hacker bringen Nutzer zur Selbst-Infektion per PowerShell

Eine mit Nordkorea in Verbindung stehende Gruppe namens Kim­su­ky hat eine neue Methode entwickelt, um gezielt hochkarätige Nut­zer angreifen und ausspionieren zu können. Die Attacken laufen über Spear-Phishing, PDF-Anleitungen und PowerShell.

Anleitung per PDF

Laut dem Microsoft Threat Intelligence Team geben sich die Angreifer als südkoreanische Regierungsbeamte aus und verschicken in deren Namen E-Mails mit einer Anleitung in PDF-Dateien, die angeblich zu einer Registrierung des Windows-Systems führen. Opfer werden dazu gebracht, die Eingabeaufforderung PowerShell als Administrator zu starten und dort einen bereitgestellten Code einzugeben.

Wenn der Code ausgeführt wird, installiert er eine browserbasierte Remotedesktop-Software sowie eine Zertifikatsdatei mit einer vordefinierten PIN von einem entfernten Server. Anschließend sendet das System eine Webanfrage, um das Gerät mit den heruntergeladenen Zugangsdaten zu registrieren. Dadurch erhalten die Angreifer Zugang zum Rechner und können sensible Daten ausleiten.


Diese Angriffsstrategie stellt eine Abweichung von den bisher bekannten Methoden der Gruppe dar und wurde laut Microsoft seit Januar 2025 in begrenztem Umfang beobachtet. Kimsuky ist dabei nicht die einzige nordkoreanische Hackergruppe, die auf diese Art der Kompromittierung setzt.

Auch Ransomware

Bereits im Dezember 2024 wurde bekannt, dass eine andere Gruppierung ähnliche Techniken nutzte, um MacOS-Nutzer zu täuschen. Dabei sollten Betroffene einen Befehl im Terminal ausführen, um angebliche Probleme mit Kamera und Mikrofon zu beheben.

Solche Angriffe nehmen zu, da sie Sicherheitsmaßnahmen umgehen: Die Opfer infizieren ihre Systeme selbst, indem sie den schädlichen Code manuell eingeben. Dies läuft parallel zu einem verstärkten Anteil von Nordkoreanern an Ransomware-Kampagnen. Dies dient allerdings in erster Linie der Devisen-Beschaffung, während die Spear-Phishing-Angriffe hauptsächlich zu Spionagezwecken eingesetzt werden.


Siehe auch: