Mobile-Menu

Erpressungsversuche durch DVRK Nordkorea infiltriert IT in USA und Europa

Quelle: Pressemitteilung 3 min Lesedauer

Anbieter zum Thema

Fsas Technologies GmbH
FTAPI Software GmbH

Nordkoreanische IT-Mitarbeiter erschleichen sich durch gefälschte Dokumente Anstellungen in westlichen Unternehmen und Regierungen. Neben den USA ist auch Deutschland betroffen.

Laut der Google Threat Intelligence Group (GTIG) unterwandern IT-Mitarbeiter aus Nordkorea die Unternehmen in den USA und Europa. Dazu nutzen sie gefälschte Dokumente und Vermittler.(Bild: Midjourney / KI-generiert)
Laut der Google Threat Intelligence Group (GTIG) unterwandern IT-Mitarbeiter aus Nordkorea die Unternehmen in den USA und Europa. Dazu nutzen sie gefälschte Dokumente und Vermittler.
(Bild: Midjourney / KI-generiert)

Die Google Threat Intelligence Group (GTIG) hat neue Erkenntnisse über die Aktivitäten nordkoreanischer IT-Mitarbeiter in Europa in einem Blogpost veröffentlicht. Die GTIG-Experten haben durch Razzien in den USA neue Erkenntnisse über Operationen von Mitarbeitern der Demokratischen Volksrepublik Korea (DVRK) in Europa gewonnen.

Angriffe auf Rüstungsbetriebe und europäische Regierungen

Ende 2024 identifizierte die GTIG einen nordkoreanischen IT-Mitarbeiter, der in Europa und den USA unter mindestens 12 Pseudonymen arbeitete. Diese Person hat sich im Vorfeld um Anstellungen bei Unternehmen in der Verteidigungsindustrie und bei europäischen Regierungen bemüht. Der IT-Mitarbeiter nutze laut GTIG gefälschte Referenzen, um seine Glaubwürdigkeit zu erhöhen. Die Referenzen validierte er mit weiteren falschen Personas.

Operationen in Großbritannien, Deutschland und Portugal

GTIG entdeckte weitere DVRK-Mitarbeiter in Europa. Diese gaben bei Bewerbungsprozessen fälschlicherweise verschiedende Nationalitäten an, darunter Italien, Japan, Malaysia. Sie suchten nach Anstellungen in Deutschland und Portugal. Bei der Ermittlung fand GTIG außerdem Anmeldedaten für Benutzerkonten europäischer Job-Websites und Human Capital Management-Plattformen.

Im Vereinigten Königreich hat GTIG zudem ein vielfältiges Portfolio von Projekten beobachtet, die von IT-Mitarbeitern der DVRK durchgeführt wurden. Zu diesen Projekten gehören:

  • Webentwicklung,
  • Bot-Entwicklung,
  • Entwicklung von Content-Management-Systemen (CMS)
  • und Blockchain-Technologie.

Die verschiedenen Projekte weisen auf ein breites Spektrum an technischem Know-how hin. Ein konkret ermitteltes Projekt war eine Webanwendung für künstliche Intelligenz (KI), die Electron-, Next.js-, KI- und Blockchain-Technologien nutzt.

Mittelsmänner in Europa

Laut der GTIC-Ermittlung setzen die nordkoreanischen IT-Mitarbeiter Vermittler ein. Diese helfen nicht nur dabei passende Jobs zu finden, sondern auch die Identitätsprüfung zu umgehen. Ermittler entdeckten erfundene Personas mit Abschlüssen der Universität Belgrad und Wohnsitzen in der Slowakei. Zudem wurden Anweisungen für Jobbörsen und Kontaktinformationen eines Brokers für gefälschte Pässe gefunden. Ein Dokument enthielt außerdem Hinweise zur Arbeitssuche in Serbien. Einer dieser Hinweise war die Verwendung der serbischen Zeitzone bei der Kommunikation.

Jamie Collier
„Europa muss umgehend aufwachen. Obwohl wir im Fadenkreuz nordkoreanischer IT-Arbeiter stehen, nehmen zu viele dies als ein amerikanisches Problem wahr. Die jüngsten Änderungen der nordkoreanischen Taktik sind wahrscheinlich auf Hürden in den Einsätzen in den USA zurückzuführen. Sie zeigen, wie agil die IT-Fachkräfte sind und wie gut sie sich an veränderte Umstände anpassen können. Vor dem aktuellen Vorstoß kamen aus Nordkorea zehn Jahre lang eine Reihe unterschiedlicher Cyberangriffe – von Angriffen auf das Bezahlsystem SWIFT und Ransomware bis hin zum Diebstahl von Kryptowährungen und der Kompromittierung von Lieferketten. Diese unermüdliche Innovation zeigt, dass Nordkorea seit langem versucht, sein Regime durch Cyberoperationen zu finanzieren.“

Bildquelle: Google Threat Intelligence Group

Verstärkte Erpressungsversuche

GTIG schätzt, dass DVRK-IT-Mitarbeiter seit Ende Oktober 2024 mehr Erpressungsversuche unternehmen und größere Unternehmen angreifen. Sie drohen, sensible Daten ihrer ehemaligen Arbeitgeber weiterzugeben oder an Konkurrenten zu verkaufen. Diese Daten umfassen proprietäre Informationen und Quellcode für interne Projekte.

Die Erpressungskampagnen haben zugenommen, seitdem die Strafverfolgungsbehörden der Vereinigten Staaten gegen IT-Mitarbeiter der DVRK härter durchgegriffen und Anklagen erheben. Dies könnte darauf hindeuten, dass der Druck auf diese Mitarbeiter sie zu aggressiveren Maßnahmen zwingt, um ihre Einnahmen zu sichern.

Früher versuchten entlassene Mitarbeiter, Referenzen für ihre anderen Identitäten zu erhalten, um wieder eingestellt zu werden. Doch sie vermuten jetzt, dass ihre wahre Identität entdeckt wurde und sie aus diesem Grund gekündigt wurden. Das macht eine Wiedereinstellung unmöglich.

(ID:50387466)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte