Rechner geknackt: Hacker lassen nordkoreanischen Spion auffliegen

Zwei Hacker, die sich "Saber" und "cyb0rg" nennen, haben den Com­pu­ter eines nordkoreanischen Regierungs-Hackers kom­pro­mit­tiert und dessen Inhalte veröffentlicht. Das gewährt nun ungewöhnlich tiefe Einblicke in die Arbeitsweise von Kimsuky.

Spionage in der Tagesschicht

Dabei handelt es sich um einen einzelnen Hacker oder ein kleines Team von Angreifern, der oder das international als Teil des nordkoreanischen Geheimdienstapparats gilt. Der Bericht über die Aktion erschien in der neuesten Ausgabe des legendären Cybersecurity-Magazins Phrack, das seit 1985 existiert und auf der Hackerkonferenz Def Con in Las Vegas verteilt wurde.

Laut den beiden Angreifern gelang es ihnen, eine Workstation ihres Ziels - in dem Artikel "Kim" genannt - zu infiltrieren. Dabei stießen sie auf eine virtuelle Maschine sowie einen virtuellen privaten Server, die angeblich zu Kims Arbeitsplatz gehörten.


Kimsuky, auch unter den Namen APT43 und Thallium bekannt, steht im Verdacht, gezielt Journalisten, Regierungsstellen in Südkorea und andere für Nordkorea relevante Ziele auszuspionieren. Neben klassischer Spionage wird ihm vorgeworfen, Kryptowährungen zu stehlen und zu waschen, um damit das nordkoreanische Atomwaffenprogramm zu finanzieren.

Die von Saber und cyb0rg erbeuteten Daten wurden an die Plattform DDoSecrets weitergegeben, die Leaks mit öffentlichem Interesse archiviert. Nach Angaben der beiden fanden sich in den Datenbeständen interne Handbücher, Hacking-Tools, kompromittierte E-Mail-Adressen, Passwörter sowie Hinweise auf Angriffe gegen südkoreanische Regierungsnetze und Unternehmen.

Zusammenarbeit mit China

Laut den Hackern enthalten die Unterlagen auch Anzeichen für eine enge Zusammenarbeit Kimsukys mit chinesischen Staats-Hackern - inklusive Austausch von Werkzeugen und Methoden. Zudem hätten Artefakte wie Dateikonfigurationen und zuvor bekannten Domains die Verbindung belegt. Auffällig sei auch Kims Arbeitsrhythmus gewesen: Das System war stets zwischen 9:00 und 17:00 Uhr Pjöngjang-Zeit online, was auf einen professionellen Akteur schließen lässt.

Rechtlich bewegen sich Saber und cyb0rg mit dem Hack selbst auf dünnem Eis. Dennoch sehen sie ihre Aktion als gerechtfertigt: In Phrack warfen sie Kimsuky vor, aus reinem Profitstreben und zur Durchsetzung der politischen Ziele der nordkoreanischen Führung zu handeln. "Ihr hackt aus den falschen Gründen", heißt es in ihrem Statement.


Siehe auch: