Spionagekampagne gegen Südkorea APT-Angriff missbraucht Microsoft VS Code für Spionage

Anbieter zum Thema

Darktrace Limited

FTAPI Software GmbH

Eine Spionagekampagne gegen Südkorea nutzt Microsoft VS Code Tunnel für den verdeckten Fernzugriff. Sicherheistforscher von Darktrace identifizierten Übereinstimmungen mit bekannten DPRK-Taktiken. Der Angriff nutzt aus­schließ­lich legitime Software von Microsoft und GitHub. Statt klassischer Malware etablieren die Angreifer verschlüsselte Tunnel und umgehen so etablierte Erkennungsmechanismen.

Eine neue Analyse des Darktrace Threat Research Teams untersucht eine Spi­o­na­ge­kam­pa­gne, die sich gegen Nutzer in Südkorea richtet und starke Übereinstimmungen mit Taktiken, Techniken und Prozeduren (TTPs) aufweist, die historisch mit DPRK-assoziierter Be­dro­hungs­aktivität in Verbindung gebracht werden. Die Kampagne nutzt Microsoft Visual Studio Code, um über vertrauenswürdige Infrastruktur einen dauerhaften, verdeckten Fernzugriff zu etablieren – und verdeutlicht damit den zunehmenden Missbrauch legitimer Tools in modernen, staatlich unterstützten Cyberoperationen.

Angriff auf den Rekrutierungsprozess

Ein nordkoreanischer Infiltrationsversuch

Phishing-Täuschung mit offiziellen Dokumenten

Die Angriffe richteten sich gegen Nutzer in Südkorea. Der initiale Zugriff erfolgte über Spear-Phishing-E-Mails mit präparierten Anhängen, die offizielle Regierungsdokumente imitierten. Im dokumentierten Fall erweckte die Datei den Anschein, vom südkoreanischen Ministerium für Personalmanagement zu stammen, und trug den Titel „Documents for the Selection of Students for the Master’s Night Program in the First Half of 2026“. Tatsächlich handelte es sich um ein JSE-Skript, das beim Öffnen eine gut getarnte Infektionskette auslöste.

Das Skript wurde über den Windows Script Host ausgeführt und enthielt mehrere Base64-kodierte Komponenten. Zunächst wurde ein scheinbar legitimes Hangul-Dokument angezeigt, um den Nutzer abzulenken. Parallel dazu wurden im Hintergrund weitere Dateien heruntergeladen – darunter die Kommandozeilenversion von Visual Studio Code direkt von Microsoft, ein legitimes VS-Code-Executable (code.exe) sowie eine Logdatei mit dem Namen out.txt.

VS Code Tunnel als Einstiegspunkt

In einem versteckten Prozess wurde anschließend ein sogenannter VS Code Tunnel eingerichtet. Diese Funktion ist eigentlich dafür gedacht, den Fernzugriff auf ein System zu ermöglichen – etwa um auch unterwegs mit einer Entwicklungsumgebung zu arbeiten. In diesem Fall wurde der Tunnel automatisiert unter dem Namen bizeugene erstellt und ermöglichte den Angreifern den Aufbau einer verschlüsselten Verbindung über Microsofts Infrastruktur zum kompromittierten System.

Die Autorisierung erfolgte über GitHub. Die Logdatei out.txt enthielt einen Gerätecode, mit dem sich die Angreifer über ihr eigenes GitHub-Konto authentifizieren konnten. Sobald der Tunnel aktiv war, bestand eine interaktive Verbindung zur Zielumgebung. Die Angreifer konnten Dateien durchsuchen, Payloads übertragen und Daten exfiltrieren – ohne dabei klassische Sicherheitstools auszulösen.

Security-Insider Podcast – Folge 101

Riskante IT-Fachkräfte aus Nordkorea

Kommunikation über kompromittierte Infrastruktur

Die Exfiltration von Zugangsdaten und Tunneldetails erfolgte über eine legitime, jedoch kompromittierte Website in Südkorea. Diese fungierte anschließend als Command-and-Control-Infrastruktur, über die die Angreifer mit dem infizierten System kommunizierten. Auch dies unterstreicht einen zentralen Aspekt moderner Angriffstaktiken: Anstelle dedizierter C2-Infrastruktur missbrauchen Angreifer zunehmend kompromittierte Drittserver, um ihre Aktivitäten noch schwerer erkennbar zu machen.

Besonders bemerkenswert an dieser Kampagne ist der vollständige Verzicht auf klassische Schadsoftware. Es kamen weder Zero-Day-Exploits noch bekannte Trojaner oder verdächtige Binärdateien zum Einsatz. Stattdessen basierte der Angriff ausschließlich auf legitimer, signierter Software – darunter Microsoft-, GitHub- und Textverarbeitungsanwendungen. Aus Sicht vieler Sicherheitssysteme erschien der Angriff dadurch vollständig unauffällig.

Living-off-the-Land auf staatlichem Niveau

Darktrace ordnet diese Kampagne eindeutig dem sogenannten „Living-off-the-Land“-Ansatz zu – einem Angriffsmodell, bei dem vorhandene Systemtools, Anwendungen und Infrastrukturen für bösartige Zwecke missbraucht werden, ohne unmittelbare Verdachtsmomente auszulösen. In Umgebungen mit vielen Entwicklern oder technisch versierten Nutzern fällt ein zusätzlicher Prozess wie code.exe nicht zwangsläufig auf. In Kombination mit Tunneling über vertrauenswürdige Plattformen wie GitHub und Microsoft wird die Erkennung weiter erschwert.

Erste Hinweise auf den Missbrauch von VS Code Tunneln durch staatlich unterstützte Gruppen wurden bereits 2023 bekannt, als Palo Alto Networks’ Unit 42 über entsprechende Aktivitäten chinesischer APT-Gruppen in Südostasien berichtete. Die hier beschriebene Kampagne gilt als der erste öffentlich dokumentierte Fall, der eine Übereinstimmung mit DPRK-assoziierter Aktivität bei der Nutzung dieser Technik zeigt.

LotL-Angriffe erkennen und abwehren

So funktionieren Living-off-the-Land-Attacken

Taktische Einordnung und Risiken für Unternehmen

Die beobachteten Taktiken entsprechen bekannten Mustern, die mit der Demokratischen Volksrepublik Korea in Verbindung gebracht werden: gezielte Angriffe auf staatliche Einrichtungen, der Einsatz von Social Engineering sowie der Missbrauch legitimer Tools zur langfristigen Kompromittierung von Systemen.

Technisch lässt sich der Angriff klar bestehenden Frameworks zuordnen. Das MITRE-ATT&CK-Modell erfasst unter anderem Techniken wie T1566.001 (Phishing via Attachment), T1059 (Command and Scripting Interpreter), T1218 (Signed Binary Proxy Execution) und T1090 (Proxy Communication).

Erkennungsherausforderungen und empfohlene Maßnahmen

Die Analyse macht deutlich, dass sich die Bedrohungslage zunehmend verändert. Während früher klassische Malware im Fokus stand, setzen moderne Kampagnen auf verdeckte Infiltration, langfristige Präsenz und die gezielte Umgehung etablierter Er­ken­nungs­me­cha­nis­men. Organisationen mit Entwicklungsabteilungen oder umfangreichem Cloud-Zugriff sind für diese Art von Angriffen besonders anfällig, da der Missbrauch legitimer Entwickler-Tools leicht in regulären Arbeitsabläufen untergeht.

Standard-Apps als Angriffsmittel

4 Tipps zur Bekämpfung von „Living-off-the-Land“-Angriffe

Sicherheitsteams müssen daher über rein signaturbasierte Abwehrmechanismen hinaus­denken. Entscheidend sind kontextbasierte Analyse, verhaltensbasierte Anomalie­erkennung und eine Zero-Trust-Architektur, die jeden Zugriff überprüft – auch wenn er über vertraute und legitime Werkzeuge erfolgt.

Die von Darktrace untersuchte Kampagne zeigt, wie gezielt staatlich unterstützte Akteure legitime Software einsetzen, um bestehende Sicherheitsmechanismen zu umgehen. Sie unterstreicht die Notwendigkeit, auch alltägliche Tools wie Entwicklungsumgebungen sicherheitstechnisch zu überwachen und klassische Erkennungslogiken durch verhaltens­basierte Ansätze zu ergänzen.

Notepad++ lieferte monatelang Backdoors statt Updates

Notepad++-Super-GAU: Wie das Admin-Tool zur APT-Waffe wurde

(ID:50771002)