Agenten als Bewerber für IT-Stellen Was Sie über nordkoreanische Cyber-Akteure wissen müssen

Anbieter zum Thema

Google Cloud EMEA Ltd

Fsas Technologies GmbH

Die Gefahr, die von nordkoreanischem IT-Personal ausgeht, wird im Westen oft unterschätzt. In diesem Beitrag stellen wir die generellen Strategien dieser Bedrohungsakteure vor und erläutern Maßnahmen zur Erkennung und Eindämmung.

Seit 2022 analysiert Mandiant IT-Mitarbeiter, die im Auftrag der Demokratischen Volksrepublik Korea (DVRK) arbeiten und spionieren. Diese Mitarbeiter geben sich als nicht-nordkoreanische Staatsangehörige aus, um sich bei Unternehmen in einer Vielzahl von Branchen ein­zu­schleu­sen. Der Zweck ist, Einnahmen für das nordkoreanische Regime zu generiere, insbesondere zur Umgehung von Sanktionen und Finanzierung des Atomwaffen- und Raketenprogramms.

Unternehmen müssen sich der Bedrohung durch nordkoreanisches IT-Personal bewusst sein. Zu diesem Zweck werden im Folgenden die operativen Taktiken beleuchtet, mit denen sich die Agenten und Bedrohungsakteure eine Anstellung und Zugang zu den Unternehmenssystemen verschaffen. Das Verständnis dieser Methoden kann Unternehmen helfen, verdächtiges Ver­halten bereits beim Rekrutierungsprozess zu erkennen und die Unterwanderung zu unter­binden. Insbesondere spielt dabei die Gruppe, die Mandiant UNC5267 nennt, eine zentrale Rolle.

Maßnahmen werden zu langsam umgesetzt

Die Deutschen haben Angst vor einem Cyberkrieg

Wer ist UNC5267?

UNC5267 ist keine traditionelle Bedrohungsgruppe mit einer zentralisierten Hierarchie. Stattdessen handelt es sich um Personen, die von der nordkoreanischen Regierung entsandt wurden und vornehmlich ihren Wohnsitz in China und Russland haben, aber auch in geringerer Zahl in Afrika und Südostasien leben. Hauptabsicht dieses Personenkreises ist es, sich lukrative Jobs in westlichen Unternehmen zu sichern – vor allem in der US-Technologiebranche.

Die Ziele von UNC5267 sind vorwiegend:

• Finanzielle Gewinne durch illegale Löhne von kompromittierten Unternehmen

• Aufrechterhaltung des langfristigen Zugangs zu den Netzwerken der Opfer zum Zweck einer möglichen zukünftigen finanziellen Ausbeutung

• Potenzielle Nutzung des Zugangs für Spionage- oder Störungsaktivitäten in der Zukunft

Zugang zu einem Unternehmen verschaffen sich die Akteure von UNC5267, indem sie sich mit gestohlenen Identitäten auf verschiedene Stellen bewerben oder als Subunternehmer angestellt werden. Insbesondere hat es die Gruppe auf Stellen abgesehen, in deren Rahmen man bis zu 100 Prozent aus der Ferne arbeiten kann. Es ist dabei nicht ungewöhnlich, dass ein nordkoreanischer IT-Mitarbeiter mehrere Jobs gleichzeitig ausübt und mehrere Gehälter pro Monat erhält. Ein amerikanischer Mittelsmann beispielsweise kompromittierte im Zeitraum von circa drei Jahren mehr als 60 Identitäten von US-Personen, schadete mehr als 300 US-Unternehmen und verschaffte den Verbindungspersonen im Ausland Einnahmen in Höhe von mindestens 6,8 Millionen US-Dollar.

Um ihre Aufgaben erfüllen zu können, greift UNC5267 häufig per Fernzugriff auf die Laptops der Opfer zu. Die zu diesem Zweck genutzten Laptop-Farmen werden in der Regel von einem einzigen Mittelsmann betrieben, der monatlich dafür bezahlt wird, viele Geräte an einem Ort zu hosten. Mandiant hat Beweise dafür gefunden, dass diese Laptops häufig an ein IP-basiertes Keyboard-Video-Mouse-Gerät (KVM) angeschlossen sind. Ein wiederkehrendes Muster bei diesen Vorfällen ist zudem die Installation mehrerer Fernverwaltungstools auf den Laptops der Opfer, unmittelbar nachdem diese auf die Farm gebracht wurden. Dies deutet darauf hin, dass der nordkoreanische Cyber-Akteur über das Internet eine Fernverbindung zum Unternehmenssystem herstellt und sich höchstwahrscheinlich gar nicht in dem Land befindet, in dem er bei der Bewerbung seinen Wohnsitz angegeben hat.

Im Folgenden finden Sie eine Liste von Remote-Administrationstools, die bei Mandiant-Projekten zur Untersuchung dieser Probleme identifiziert wurden:

• GoToRemote / LogMeIn

• GoToMeeting

• Chrome Remote Desktop

• AnyDesk

• TeamViewer

• RustDesk

Risikobewertung für Bedrohungen aus nächster Nähe

Insider-Angriffe erkennen und abwehren

Wie erkenne und verhindere ich Kompromittierungsversuche aus Nordkorea?

Um der Bedrohung durch nordkoreanische Cyber-Akteure zu begegnen, ist ein vielseitiger Ansatz erforderlich, der technische Abwehrmaßnahmen, Sensibilisierung der Nutzer und proaktives Bedrohungsmanagement kombiniert. Die wichtigsten Empfehlungen sind:

1. Überprüfen von Bewerbern:

• Strenges Vetting, einschließlich der Erfassung biometrischer Daten zum Abgleich mit bekannten Identitäten durch spezialisierte Prüfungsdienste, kann die Verwendung gefälschter Dokumente verhindern.

• Bewerbungsgespräche mit Einsatz von Kameras stellen sicher, dass das Erscheinungsbild mit den angegebenen Online-Profilen übereinstimmt. Die US-Regierung und vertrauenswürdige Dritte haben etwa festgestellt, dass nordkoreanische IT-Mitarbeiter oftmals zögern, Kameras einzuschalten und bei Bewerbungsgesprächen einen falschen Hintergrund vortäuschen.

• Gezielte Schulung der Personalabteilungen hilft dabei, Ungereimtheiten zu erkennen und die Taktiken, Techniken und Verfahren von UNC5267 und ähnlichen Bedrohungsakteuren zu verstehen.

• Open-Source-Tools unterstützen dabei, Manipulierungen mithilfe von künstlicher Intelligenz (KI) an Mitarbeiterprofilen aufzuspüren. Mandiant hat etwa mehrere Fälle beobachtet, in denen IT-Mitarbeiter der DVKR KI eingesetzt haben, um Profilbilder zu verändern.

• Ein notariell beglaubigter Identitätsnachweis vor der Einstellung überprüft zusätzlich die Bewerber.

User and Entity Behavior Analytics (UEBA) in der Praxis

Was bringt Verhaltensanalyse?

2. Erkennen von technischen Anzeichen:

• Überprüfen Sie Telefonnummern, um Voice-over-Internet-Protocol (VoIP)-Telefonnummern zu identifizieren, da dies eine gängige Taktik von UNC5267 ist.

• Überprüfen Sie, ob der Firmenlaptop an den Ort geliefert wird, an dem sich die betreffende Person während des Onboarding-Prozesses anmeldet und ob er dort geografisch lokalisiert ist. Mandiant konnte Fälle feststellen, in denen der Firmenlaptop nie an den Ort geliefert wurde, den die IT-Person angegeben hatte.

• Überwachen und beschränken Sie die Verwendung und Installation von Remote-Management-Tools: Verhindern Sie Remote-Verbindungen zu Computern, die vom Unternehmen zur Verfügung gestellt werden und die anschließend auf das Unternehmensnetzwerk zugreifen können. Überwachen Sie ungewöhnliche Fern-Admintools. Überprüfen Sie auch, ob mehrere Fernverwaltungstools auf einem System installiert sind.

• Überprüfen Sie VPN-Dienste, die mit der Unternehmensinfrastruktur verbunden sind. Vor allem IP-Adressen, die mit VPN-Diensten wie Astrill VPN in Zusammenhang stehen, sollten genauer überwacht werden.

• Achten Sie auf die Verwendung von „Mouse Jiggling“-Software. Mandiant hat Fälle beobachtet, in denen IT-Mitarbeiter der DVRK die Software "Caffeine" oder „Amphetamine“ verwenden, um auf mehreren Laptops und Profilen aktiv zu bleiben.

• Überprüfen Sie die Seriennummer des Laptops zum Zeitpunkt des IT-Onboarding.

• Verwenden Sie eine hardwarebasierte Multi-Faktor-Authentifizierung, um den physischen Zugriff auf Unternehmensgeräte zu erzwingen.

• Schränken Sie die Verwendung von IP-basierten KVM-Geräten ein. IP-basierte KVM-Geräte werden häufig von IT-Mitarbeitern der DVRK verwendet, um permanenten Fernzugriff auf Unternehmensgeräte zu erhalten.

Was Unternehmen aus dem Fall Snowden lernen können

Insider-Bedrohung im Netzwerk erkennen

3. Einführung gezielter Abwehrstrategien

• Die Durchführung regelmäßiger obligatorischer Scans zwingt Remote-Mitarbeiter vor die Kamera zu treten.

• Bieten Sie Benutzern und Mitarbeitern fortlaufende Schulungen zu aktuellen Bedrohungen und Trends an, um die Erkennung potenziell bösartiger Aktivitäten zu verbessern. Zusätzliche Schulungen zur richtigen Meldung verdächtiger Aktivitäten sind ebenso ratsam.

• Arbeiten Sie mit Sicherheitsdienstleistern und anderen seriösen Partnern zusammen, um über die neuesten Bedrohungen und Gegenstrategien auf dem Laufenden zu bleiben.

• Die Vorgabe, für Finanztransaktionen deutsche Banken zu nutzen, reduziert das Risiko einer Kompromittierung. Der Grund dafür liegt in der höheren Hürde für die Eröffnung deutscher Bankkonten, die durch strengere Identitätsprüfungen und regulatorische Anforderungen im Vergleich zu vielen anderen Ländern gekennzeichnet ist.

Schädliche Pakete in JavaScript-Registry

Hackergruppe aus Nordkorea greift npm-Registry an

Sicherheitsbedrohung Nordkorea – ein Ausblick

Die Kompromittierung durch nordkoreanische IT-Mitarbeiter stellt eine anhaltende und zunehmende Cyber-Bedrohung dar. Die doppelte Motivation hinter ihren Aktivitäten – die Erfüllung staatlicher Ziele und das Streben nach persönlichen finanziellen Vorteilen – macht sie zu einer ernstzunehmenden Gefahr. Ihr technisches Know-how in Verbindung mit ausgeklügelten Infiltrierungstaktiken stellt weiterhin eine große Herausforderung dar, insbesondere für Personal- und Rekrutierungsteams, deren Aufgabe es ist, potenzielle Bedrohungen während des Rekrutierungsprozesses zu identifizieren. Die steigende Zahl an Erpressungen durch diese IT-Beschäftigte in jüngster Vergangenheit macht es zwingend notwendig, wachsam zu sein.

Angesichts der bisherigen Erfolge und der Tatsache, dass das nordkoreanische Regime auf Cyberoperationen angewiesen ist, um Einnahmen zu generieren und strategische Ziele zu erreichen, ist mit einer weiteren Zunahme ausgeklügelter Angriffe und Einbrüche in Unternehmensnetzwerke zu rechen. Insbesondere stehen die IT-Abteilungen westlicher Unternehmen im Visier. So wächst auch die Bedrohung für europäische Organisationen. Diese Angriffe können dabei zu Datenschutzverletzungen, finanziellen Verlusten, Diebstahl geistigen Eigentums und Unterbrechungen wichtiger Dienste führen. Die Implementierung von intelligenten Abwehrstrategien und Maßnahmen hilft jedoch dabei, die Unterwanderungs­versuche schon beim Rekrutierungsprozess aufzudecken und zu verhindern und damit das Unternehmen erfolgreich abzuhärten.

Über den Autor: Michael Barnhart ist Leiter des Threat Hunting Teams Nordkorea bei Mandiant.

(ID:50325595)