Staatlich unterstützte Hackergruppe TA406 Nordkoreanische Cyberspionage in der Ukraine

Anbieter zum Thema

Proofpoint Germany

Fsas Technologies GmbH

FTAPI Software GmbH

Nordkorea beteiligt sich nicht nur militärisch am russischen Krieg gegen die Ukraine, sondern auch mit den Mitteln der hybriden Kriegsführung. So hat die staatlich unterstützte nordkoreanische Hackergruppe TA406 in jüngster Zeit gezielte Angriffe auf ukrainische Regierungseinrichtungen durchgeführt.

Die Sicherheitsforscher von Proofpoint haben die Aktivitäten der nordkoreanischen Cyberkriminellen einer umfassenden Analyse unterzogen. Der Fokus der Kampagne liegt eindeutig auf der Sammlung strategischer und politischer Informationen – ein Ansatz, der sich deutlich von den meist taktisch geprägten Operationen russischer Gruppen unterscheidet.

Ein alter Bekannter mit neuen Zielen

Die Gruppe TA406, die auch „Opal Sleet“ oder „Konni“ bezeichnet wird, ist in Expertenkreisen seit Jahren für ihre ausgeklügelten Spionagekampagnen bekannt. Während sie in der Vergangenheit vor allem russische Regierungsstellen ausspionierte, widmet sie ihr Augenmerk seit der Entsendung nordkoreanischer Truppen zur Unterstützung Russlands verstärkt der Ukraine. Die Führung in Pjöngjang scheint darauf bedacht, die Risiken für die eigenen Soldaten und Entwicklungen der Kriegführung zu erkennen.

FrostyGoop bedroht ICS

Diese Malware steckt hinter dem Heizungsausfall in der Ukraine

Phishing als Türöffner

Der erste Schritt der von Proofpoint dokumentierten Angriffe sind täuschend echt gestaltete Phishing-E-Mails. Diese Mails scheinen von einem leitenden Mitarbeiter eines fiktiven Think Tanks namens „Royal Institute of Strategic Studies“ zu stammen. Aktuelle politische Entwicklungen in der Ukraine werden als Köder aufgegriffen, um die Glaubwürdigkeit zu erhöhen. Das eigentliche Ziel besteht darin, die Empfänger dazu zu bringen, einen Link zu einem Cloud-Dienst wie MEGA zu öffnen. Dort wartet ein passwortgeschütztes Archiv, das nach Entschlüsselung und Ausführung eine Infektionskette in Gang setzt.

Die Angreifer erweisen sich als besonders hartnäckig: Reagiert das Opfer nicht auf die erste E-Mail, fragen die Angreifer nach, ob die Empfänger die vorangehenden Nachrichten empfangen haben und die angehängten Dateien öffnen konnten. Dieses Vorgehen erhöht die Wahrscheinlichkeit, dass die Zielperson schließlich auf den Köder hereinfällt.

Von PowerShell bis Persistenz

Nach dem erfolgreichen Öffnen des Archivs beginnt die eigentliche Kompromittierung des Zielsystems. Im ersten Schritt wird eine CHM-Datei entpackt, die wiederum mehrere HTML-Dateien enthält. Klickt der Benutzer auf einen Link innerhalb dieser Dateien, wird ein PowerShell-Skript aktiviert, das zunächst Kontakt zu einem von TA406 kontrollierten Server aufnimmt und dort weitere Befehle abruft. Anschließend führt das Skript umfangreiche System- und Netzwerkanalysen durch: Es sammelt Informationen über Hardware, installierte Software, zuletzt geöffnete Dateien und vorhandene Sicherheitslösungen. Alle gesammelten Daten werden Base64-kodiert und per POST-Request an den Command-and-Control-Server der Angreifer übertragen.

Erpressungsversuche durch DVRK

Nordkorea infiltriert IT in USA und Europa

Um die Persistenz auf dem kompromittierten System zu gewährleisten, erstellt das Skript zusätzlich eine Batch-Datei im APPDATA-Verzeichnis, die bei jedem Neustart automatisch ausgeführt wird. Auf diese Weise hat der Angreifer dauerhaft Zugriff auf das infizierte System und kann weitere Aktionen durchführen.

Proofpoint hat auch eine Variante beobachtet, bei der die ursprüngliche Malware direkt als HTML-Anhang versendet wird. Wird dieser geöffnet und auf den darin enthaltenen Link geklickt, lädt das Opfer ein ZIP-Archiv herunter, das sowohl eine harmlose PDF-Datei als auch eine LNK-Datei mit dem Titel „Why Zelenskyy fired Zaluzhnyi.lnk“ enthält. Das Öffnen dieser LNK-Datei führt seinerseits zur Ausführung von PowerShell-Code, der eine geplante Task erstellt und ein weiteres Skript nachlädt.

Credential Harvesting

Bereits vor der eigentlichen Malware-Kampagne setzte TA406 auf gezieltes Credential Harvesting. Dazu verschickten die Cyberkriminellen Phishing-Mails, die angeblich von Microsoft stammten und die Empfänger aufforderten, ungewöhnliche Anmeldeaktivitäten zu bestätigen. Die hinterlegten Links führten auf eine kompromittierte Domain, auf der die Zugangsdaten abgefischt werden sollten. Obwohl die entsprechende Phishing-Seite zum Zeitpunkt der Proofpoint-Untersuchung nicht mehr erreichbar war, gibt es Hinweise darauf, dass diese Domain bereits früher für ähnliche Angriffe durch TA406 verwendet wurde. Bemerkenswert ist, dass sich die Empfängerliste dieser Phishing-Mails teilweise mit den späteren Opfern der Malware-Kampagne überschnitt – ein Indiz für eine systematische Vorauswahl besonders lohnender Ziele.

Spionage

Täglich hybride Angriffe auf Deutschland

Strategische Motivation

Die Aktivitäten von TA406 lassen sich als Teil einer umfassenden Strategie der Informationsbeschaffung deuten. Im Gegensatz zu russischen Gruppen, die im Rahmen des Ukraine-Krieges in erster Linie taktische Informationen vom Gefechtsfeld sammeln, ist TA406 vor allem an politischen und strategischen Einschätzungen über die Widerstandsfähigkeit der Ukraine und den weiteren Verlauf des Konflikts interessiert. Die gewonnenen Erkenntnisse sollen offenbar dazu dienen, das Risiko für die eigenen in Russland eingesetzten Truppen besser einzuschätzen und mögliche zukünftige Anforderungen Russlands zu antizipieren.

Wachsamkeit

Die Analyse der aktuellen TA406-Kampagne unterstreicht, wie flexibel und zielgerichtet staatlich unterstützte Hackergruppen mittlerweile agieren. Die Kombination aus Social Engineering, technisch ausgefeilten Infektionsketten und strategischer Zielauswahl macht TA406 zu einem ernstzunehmenden Akteur in der Bedrohungslandschaft, dessen Aktivitäten weit über klassische Cyberspionage hinausgehen. Für die Ukraine und perspektivisch auch für andere Staaten ist es daher unerlässlich, die eigene Cyberabwehr kontinuierlich weiterzuentwickeln und insbesondere die Abwehr gegen gezielte Phishing-Attacken und Credential-Harvesting-Kampagnen zu stärken.

Teil der russischen Strategie

Hacker nehmen Rüstungslieferanten der Ukraine ins Visier

(ID:50432573)