Mit Nordkorea verbundene Hacker nutzten ChatGPT, um gefälschte militärische Ausweise zu erstellen

Eine von Nordkorea unterstützte Hackergruppe namens Kimsuky nutzte ChatGPT, um einen gefälschten südkoreanischen Militärausweis zu erstellen und startete einen Phishing-Angriff, der auf Journalisten, Forscher und Menschenrechtsarbeiter abzielte, so die Cybersicherheitsfirma Genians.

Die E-Mail, die den Deepfake-Ausweis enthielt, enthielt Malware, die darauf ausgelegt war, Informationen von den Geräten der Empfänger zu stehlen. Diese Kampagne ist Teil eines breiteren Musters nordkoreanischer Cyber-Operationen, die KI nutzen, um globale Spionage durchzuführen.

Die Phishing-E-Mail war so getarnt, dass sie von einem echten Militärraum zu stammen schien, endend mit .mil.kr. Es gab keinen Foto-Anhang, kein Bild des Ausweises. Stattdessen gab es eine versteckte Payload, bereit, das System des Ziels zu infizieren.

Genians bestätigte, dass der gefälschte Militärausweis mit ChatGPT erstellt wurde, nachdem die Einschränkungen der Plattform umgangen wurden. Als man aufforderte, den Ausweis direkt zu generieren, weigerte sich das Tool zunächst. Aber die Forscher gelang es, die Blockade zu umgehen, indem sie die Art und Weise änderten, wie der Prompt geschrieben wurde.

Sobald der Prompt umgeschrieben wurde, produzierte das System einen überzeugenden Entwurf, genug, um Opfer dazu zu bringen, auf die eingebettete Malware zu klicken.

KI-Tools helfen nordkoreanischen Hackern, gefälschte Lebensläufe, Identitäten und Malware zu erstellen

Die gleiche Strategie beschränkte sich nicht auf Südkorea. Im August sagte die KI-Firma Anthropic, dass sie nordkoreanische Hacker dabei gefunden habe, ihr Claude Code-Modell zu nutzen, um sich um Remote-Jobs bei US-Fortune-500-Unternehmen zu bewerben.

Die Hacker nutzten Claude, um Coding-Interviews zu bestehen, vollständige Arbeitsverläufe zu erstellen und sogar technische Aufgaben zu erledigen, nachdem sie eingestellt worden waren. Die Operation gab Nordkorea direkten Zugang zu Unternehmenssystemen in den USA, ohne dass Firewalls durchbrochen werden mussten.

Im Februar sperrte OpenAI Konten, die mit Nordkorea verbunden waren, die seine Tools genutzt hatten, um gefälschte Lebensläufe, Anschreiben und Social-Media-Beiträge zu erstellen. Diese Profile waren darauf ausgelegt, Menschen dazu zu bringen, die Kampagnen des Regimes bewusst oder unbewusst zu unterstützen.

Mun Chong-hyun, Direktor bei Genians, sagte, diese neuen Techniken zeigten, wie Nordkorea KI jetzt in jedem Stadium des Hacking-Prozesses integriert habe, von der Planung und Werkzeugerstellung bis hin zu Phishing und Identitätsdiebstahl.

„Angreifer können KI nutzen, um Szenarien zu kartieren, Malware zu schreiben und sogar als Rekrutierer zu tarnen“, sagte Mun. Die US-Regierung hat gesagt, dass die Cyber-Bemühungen Nordkoreas Teil einer größeren Operation sind.

Sie glauben, dass das Regime in Pjöngjang Hacking, Krypto-Diebstahl und Schatten-IT-Verträge nutzt, um Daten zu sammeln, Informationen zu beschaffen und Mittel zu generieren, um sein Nuklearwaffenprogramm zu unterstützen und dabei internationale Sanktionen zu umgehen.

Bereits 2020 gab das US-Innenministerium eine formelle Warnung heraus, in der Kimsuky als „höchstwahrscheinlich vom nordkoreanischen Regime mit einer globalen Aufklärungsaufgabe betraut“ beschrieben wurde.

Die Gruppe ist seit 2012 aktiv und hat ihre Angriffe auf Außenpolitik-Experten, Think-Tanks und Regierungsbehörden in Südkorea, Japan und den Vereinigten Staaten konzentriert.

Meistens nutzen sie Spearphishing-E-Mails, um in Systeme einzudringen, sensible Informationen zu extrahieren und hochrangige Diskussionen über Nuklearstrategie, Sanktionen und regionale Sicherheit zu verfolgen.

US- und südkoreanische Beamte warnen vor steigender Bedrohung

Die Genians Bericht bestätigten auch, dass die neuesten Opfer sorgfältig ausgewählt wurden. Die Hacker gingen nach Personen mit starken Verbindungen zu Themen rund um Nordkorea, wie Aktivisten, Journalisten und Verteidigungsforschern. Es ist immer noch unbekannt, wie viele Geräte tatsächlich kompromittiert wurden.

Aber die Tatsache, dass sie in der Lage waren, eine südkoreanische militärische E-Mail-Domäne zu spoofen und Malware in eine scheinbar harmlose Nachricht einzufügen, zeigt, wie gefährlich diese Methode ist.

Während der Untersuchung versuchte Genians, die Methode der Hacker mit ChatGPT selbst zu replizieren. Ihr Experiment bestätigte, dass ChatGPT zwar darauf ausgelegt ist, illegale Inhalte wie gefälschte staatliche Ausweise zu blockieren, Angreifer jedoch immer noch in der Lage waren, dies mit geringfügigen Sprachänderungen zu umgehen.

Das Endergebnis war eine Ausweisvorlage, die erst zu spät verdächtig wirkte.

CISA, FBI und CNMF haben nun alle aufgefordert, die in sensiblen Bereichen im Zusammenhang mit Nordkorea arbeiten, ihre Sicherheit zu verschärfen. Sie warnten, dass Kimsuky weiterhin Phishing, gefälschte Rekrutierer-Konten und gespoofte Domänen nutzt, um in Netzwerke einzudringen.

Ihre Hauptvorschläge umfassen die Aktivierung der Multi-Faktor-Authentifizierung, die Einführung von Schulungen zum Phishing-Bewusstsein und das Einrichten stärkerer Filter für verdächtige E-Mails.

Die US-Geheimdienstgemeinschaft hat seit langem gesagt, dass Cyber-Operationen jetzt eines der Hauptwerkzeuge Nordkoreas sind, um Sanktionen zu umgehen.