Operationen einer großen nordkoreanischen Hackergruppe in einem mutmaßlichen Datenbruch aufgedeckt

Eine große nordkoreanische Hackergruppe wurde in einem mutmaßlichen Datenbruch aufgedeckt, der zwei kompromittierte Systeme umfasst, bei denen ein Kimsuky-APT-Mitglied einen mutmaßlichen massiven Leak erlitt.

Ein Mitglied der mutmaßlichen nordkoreanischen Hackergruppe Kimsuky Advanced Persistent Threat (APT) hat reportedly einen schweren Datenbruch erlitten, was zum Leak von Hunderten von Gigabyte interner Dateien und Tools führte.

Nordkoreanische Hackergruppe in einem mutmaßlichen Datenbruch aufgedeckt

Laut Slow Mist-Sicherheitsforschern umfasst die geleakte Kimsuky-Hackerdaten Browserverläufe, Phishing-Kampagnen-Logs, Handbücher für benutzerdefinierte Backdoors und offensive Systeme wie den TomCat-Kernel-Backdoor, modifizierte Cobalt Strike Beacons, Ivanti RootRot und Android-basierte Malware-Varianten wie Toybox.

Die Berichte vermuten, dass der Datenbruch Anfang Juni 2025 stattfand, und verfolgten ihn auf zwei kompromittierte Systeme zurück, die mit einem Kimsuky-Operator unter dem Alias „KIM“ verbunden waren. Einer war eine Linux-Entwicklungs-Workstation, die Deepin 20.9 ausführt, während der andere ein öffentlich zugänglicher VPS war. Das Linux-System diente wahrscheinlich als Malware-Entwicklungsumgebung, während der andere Spear-Phishing-Materialien hostete, einschließlich gefälschter Login-Portale und Command-and-Control-Links.

Die Hacker hinter dem Datenbruch, die sich „Saber“ und „cyb0rg“ nennen, behaupten, sie hätten auf die Inhalte beider Systeme zugegriffen und diese vor ihrer Veröffentlichung online extrahiert. Während einige Indikatoren „KIM“ mit der bekannten Infrastruktur von Kimsuky verbinden, deuten andere linguistische und technische Hinweise auf eine mögliche chinesische Verbindung hin, sodass die Herkunft von KIM vorerst ungeklärt bleibt.

Kimsuky operiert seit mindestens 2012

Kimsuky hat Verbindungen zur nordkoreanischen Generaldirektion für Aufklärung, seit es 2012 zum ersten Mal auftauchte. Die Gruppe hat sich lange auf Cyber-Spionage spezialisiert, die Regierungen, Think Tanks, Verteidigungsauftragnehmer und die Akademie zielt.

Anfang 2025 nutzten Kimsuky-Kampagnen wie DEEP#DRIVE mehrstufige Intrusionsketten, die mit komprimierten ZIP-Dateien begannen, die Windows-Verknüpfungsdateien (LNK) enthielten, die als Dokumente getarnt waren. Wenn Opfer diese Dateien öffnen, starten die LNK-Dateien PowerShell-Befehle, die bösartige Payloads von Diensten wie Dropbox abrufen, wobei Tarnungsdokumente verwendet werden, um legitim zu erscheinen und die Entdeckung zu vermeiden.

Kimsuky-Kampagnen von März und April 2025 führten verwirrten VBScript- und PowerShell-Code ein, der in bösartigen ZIP-Archiven eingebettet war. Diese Skripte sammelten Befehle heimlich und setzten Malware ein, um Tastatureingaben zu ernten, Zwischenablagendaten aufzunehmen und Kryptowährungs-Wallet-Schlüssel aus Browsern wie Chrome, Edge, Firefox und Naver Whale zu stehlen.

Einige Operationen wechselten zur Verwendung von bösartigen LNK-Dateien in Kombination mit VBScript, das mshta.exe aufrief, um reflektierende DLL-basierte Malware direkt im Speicher auszuführen.

Ungefähr zur gleichen Zeit begann Kimsuky, benutzerdefinierte RDP-Wrapper-Module und Proxy-Malware einzusetzen, um einen heimlichen Fernzugriff zu ermöglichen. Info-Stealer wie forceCopy wurden verwendet, um Anmeldeinformationen aus Browser-Konfigurationsdateien zu ernten, ohne Standard-Passwortzugriffsalarme auszulösen.

Die Gruppe missbrauchte auch beliebte Cloud- und Code-Hosting-Dienste. In einer Spear-Phishing-Kampagne im Juni 2025, die Südkoreazielte, wurden private GitHub-Repositories verwendet, um Malware und extrahierte Daten zu speichern. Diese Kampagnen lieferten Payloads wie XenoRAT, während Dropbox als Ablageplatz für gestohlene Dateien diente. Diese doppelte Nutzung vertrauenswürdiger Plattformen sowohl für die Lieferung als auch für die Extraktion ermöglichte es Kimsuky, seine bösartigen Aktivitäten im legitimen Netzwerkverkehr zu verstecken.