FBI sagt, Nordkoreas Kimsuky APT verwendet bösartige QR-Codes, um US-Entitäten zu spearphishen

Das FBI sagt, dass die Kimsuky-APT, eine nordkoreanische, staatlich unterstützte Hackergruppe, bösartige QR-Codes nutzt, um in US-Organisationen einzubrechen, die mit der Nordkorea-Politik verbunden sind.

Die Warnung stammt aus einem 2025 vom FBI veröffentlichten FLASH-Bericht, der an NGOs, Thinktanks, Universitäten und regierungsnahe Gruppen weitergegeben wurde. Die Behörde sagt, dass alle Ziele eines gemeinsam haben: Sie forschen zu, beraten in oder arbeiten im Bereich Nordkorea.

Laut dem FBI führt die Kimsuky-APT Spear-Phishing-Kampagnen durch, die auf QR-Codes statt auf Links setzen, eine Methode, die als „Quishing“ bekannt ist.

Die QR-Codes verbergen schädliche URLs, und Opfer scannen sie fast immer mit dem Handy, nicht mit dem Arbeitscomputer. Dieser Wechsel ermöglicht es den Angreifern, E-Mail-Filter, Link-Scanner und Sandbox-Tools zu umgehen, die Phishing-Angriffe normalerweise aufdecken.

Kimsuky-APT sendet QR-basierte E-Mails an Zielgruppen aus Politik und Forschung

Das FBI sagt, die Kimsuky-APT habe 2025 mehrere thematisch gestaltete E-Mails verwendet. Jede passte zum Job und zu den Interessen des Ziels. Im Mai gaben sich Angreifer als ausländischer Berater aus. Sie schickten einem Thinktank-Chef eine E-Mail mit der Bitte um Einschätzung zu aktuellen Ereignissen auf der koreanischen Halbinsel. Die E-Mail enthielt einen QR-Code, der angeblich ein Frageformular öffnete.

Später im Mai gab sich die Gruppe als Mitarbeiter einer Botschaft aus. Diese E-Mail ging an einen leitenden Mitarbeiter eines Thinktanks. Sie bat um Input zu nordkoreanischen Menschenrechtsfragen. Der QR-Code sollte angeblich ein sicheres Laufwerk freischalten. Im selben Monat täuschte eine weitere E-Mail vor, von einem Thinktank-Mitarbeiter zu stammen. Das Scannen seines QR-Codes leitete das Opfer zu von der Kimsuky-APT für bösartige Aktivitäten aufgebauter Infrastruktur.

Im Juni 2025 griff die Gruppe laut FBI eine strategische Beratungsfirma an. Die E-Mail lud Mitarbeiter zu einer nicht existierenden Konferenz ein. Ein QR-Code leitete Benutzer zu einer Registrierungsseite. Ein Registrieren-Button schob Besucher dann zu einer gefälschten Google-Anmeldeseite. Diese Seite sammelte Benutzernamen und Passwörter. Das FBI verknüpfte diesen Schritt mit der Überwachung von Credential-Harvesting-Aktivitäten unter der Bezeichnung T1056.003.

QR-Scans führen zur Diebstahl von Tokens und zur Übernahme von Konten

„Quishing-Operationen enden häufig mit Diebstahl von Sitzungstokens und Replay [T1550.004], was Angreifern ermöglicht, die Multi-Faktor-Authentifizierung [T1550.004] zu umgehen und Cloud-Identitäten zu übernehmen, ohne typische „MFA fehlgeschlagen“-Warnungen auszulösen“, sagte das FBI.

Das FBI sagt, viele dieser Angriffe enden mit dem Diebstahl von Sitzungstokens und deren Wiederverwendung (Replay). Dies ermöglicht es Angreifern, die Multi-Faktor-Authentifizierung zu umgehen, ohne Alarme auszulösen. Konten werden stillschweigend übernommen. Danach ändern Angreifer Einstellungen, fügen Zugriffsrechte hinzu und behalten die Kontrolle. Das FBI sagt, kompromittierte Postfächer werden dann verwendet, um weitere Spear-Phishing-E-Mails innerhalb derselben Organisation zu senden.

Das FBI weist darauf hin, dass diese Angriffe auf privaten Handys beginnen. Das hält sie außerhalb der normalen Endpunkterkennungstools und der Netzwerküberwachung. Aufgrund dessen sagte das FBI:-

„Quishing gilt jetzt als hochwahrscheinlicher, MFA-resilienter Identitäts-Intrusionsvektor in Unternehmensumgebungen.“

Das FBI drängt Organisationen, das Risiko zu verringern. Die Behörde sagt, Mitarbeiter sollten vor dem Scannen zufälliger QR-Codes aus E-Mails, Briefen oder Flyern gewarnt werden. Schulungen sollten falsche Dringlichkeit und Identitätsdiebstahl abdecken. Arbeitnehmer sollten QR-Code-Anfragen vor dem Einloggen oder Herunterladen von Dateien über direkten Kontakt verifizieren. Klare Meldevorschriften sollten vorhanden sein.

Das FBI empfiehlt außerdem die Nutzung von:- „phishing-resistenter MFA für alle Remote-Zugänge und sensible Systeme“ sowie „der Überprüfung von Zugriffsrechten gemäß dem Prinzip des geringsten Privilegs und der regelmäßigen Prüfung auf nicht genutzte oder übermäßige Kontoberechtigungen.“