Sicherheitsforscher hackt Nordkorea-Hacker

Einblicke in die Schattenwelt nordkoreanischer Cyberkriminalität

Der griechische Sicherheitsforscher Vangelis Stykas hat auf der Black-Hat-Konferenz in Las Vegas brisante Details über die Arbeitsweise nordkoreanischer Hackergruppen enthüllt. Nach einer rund 22-monatigen Phase, in der es ihm gelang, in die Systeme einer der staatlich gelenkten Gruppen einzudringen, liegen nun umfangreiche Daten über das Ausmaß der Aktivitäten vor. Die Erkenntnisse zeichnen das Bild einer hochgradig organisierten Bedrohung, die weltweit tausende Unternehmen ins Visier nimmt.

Stykas konnte nach eigenen Angaben rund 1.640 betroffene Unternehmen in 57 Ländern identifizieren. Bei etwa 700 bis 800 dieser Fälle kam es zu schwerwiegenden Sicherheitsverletzungen, bei denen die Angreifer teilweise Root-Zugriff auf Server und Cloud-Infrastrukturen, wie etwa AWS-Konten, erlangten. Der Forscher wertete dabei rund fünf Terabyte an Daten aus, zu denen er durch den Zugriff auf interne Kommunikationskanäle wie Slack und Discord gelangte. Ein kurioser Umstand begünstigte seine Arbeit: Die Angreifer hatten ihre eigenen Systeme mit ihrer selbst entwickelten Malware infiziert, was die Überwachung der internen Abläufe erleichterte.

Strategischer Wandel: Von Krypto-Raub zu Social Engineering

Die nordkoreanischen Akteure, allen voran der Lazarus-Group-Komplex, haben sich zu einer massiven finanziellen Bedrohung entwickelt. Laut Daten von Chainalysis belief sich die Beute im Jahr 2025 auf rund 2,02 Milliarden US-Dollar, was einem Anstieg von 51 Prozent gegenüber dem Vorjahr entspricht. Seit 2017 summiert sich die erbeutete Summe auf geschätzt 6,75 Milliarden US-Dollar. Im laufenden Jahr 2026 zeichnet sich ein ähnliches Bild ab: In den ersten vier Monaten waren nordkoreanische Hacker für 76 Prozent des weltweiten Schadens durch Krypto-Diebstähle verantwortlich.

Neben der reinen Summe hat sich auch die Methodik gewandelt. Während früher primär gestohlene Schlüssel für Angriffe genutzt wurden, setzen die Gruppen verstärkt auf Social Engineering. Dabei geben sich die Akteure als Arbeitgeber aus und locken Fachkräfte mit vermeintlichen Einstellungsverfahren. Bewerber werden dazu animiert, eine Software zu installieren, die angeblich ihre IT-Kenntnisse prüfen soll – in Wahrheit handelt es sich jedoch um Schadsoftware, die den Angreifern den Weg in die Unternehmensnetzwerke ebnet.

Die Rolle von Drittanbietern und mangelnde Resonanz

Ein zentraler Aspekt der Angriffsstrategie ist die gezielte Kompromittierung von Vertragsdienstleistern. Da diese oft bei einer Vielzahl von Kunden gleichzeitig tätig sind, dient ein einziges infiziertes Gerät als Einfallstor für mehrere Unternehmen. Die Liste der betroffenen Institutionen ist lang und vielfältig: Sie reicht vom chinesischen Technikhersteller Oppo über das Boston Children’s Hospital bis hin zu Justizbehörden in Italien und Teilen der flämischen Regierung in Belgien.

Stykas kritisierte, dass viele der von ihm gewarnten Unternehmen die Gefahr unterschätzt hätten. Einige der betroffenen Firmen spielten den Vorfall herunter und verwiesen auf die Verantwortung der beauftragten Dienstleister. Experten warnen jedoch, dass die Einbrüche weit über den reinen Diebstahl von Kryptowährungen hinausgehen. Einmal etablierte Zugänge werden häufig für weitergehende Spionageaktivitäten genutzt, um sensible Daten abzugreifen.

Finanzierung des Regimes und internationale Folgen

Die Cyberoperationen dienen nach übereinstimmenden Behördenangaben dazu, internationale Finanzsanktionen zu umgehen und Nordkoreas Nuklear- sowie Raketenprogramme zu finanzieren. Die Hackergruppe Andariel, die 2024 enttarnt wurde, hatte sich gezielt auf die Ausspähung von Verteidigungs- und Nuklearunternehmen konzentriert.

Zusätzlich zu den direkten Hackerangriffen nutzt Nordkorea ein Netzwerk aus IT-Arbeitskräften, die sich unter falscher Identität in reguläre Jobs im Ausland einschleusen, um Gehälter in das Land zu transferieren. In den USA wurden bereits fünf Personen verurteilt, die dieses Netzwerk unterstützten – allein in diesen Fällen waren über 136 Unternehmen betroffen. Die Kombination aus technischer Infiltration, Social Engineering und dem Einsatz von getarnten Arbeitskräften verdeutlicht die Komplexität der Bedrohungslage, auf die Unternehmen weltweit reagieren müssen.