Bericht: Nordkoreas „Kimsuky“ macht KI zu einer Waffe für Krypto-Hacks

In einer am Montag veröffentlichten Analyse erklärte das Genians Security Center, dass die monatelange Verfolgung der mit Kimsuky in Verbindung stehenden Infrastruktur Hinweise auf lokale große Sprachmodelle, KI-Entwicklungsframeworks, Spracherkennungs-Tools und durch generative KI erstellte Dokumente zutage gefördert habe. Die Forscher gehen davon aus, dass die Gruppe unter dem Dach des nordkoreanischen „Reconnaissance General Bureau“ operiert.

Kimsuky baut ein eigenes privates KI-Labor auf

Die Erkenntnisse gehen über den Nachweis hinaus, dass Hacker gelegentlich einen Chatbot um Hilfe gebeten haben. Die Forscher entdeckten Spuren von drei lokalen KI-Plattformen – Ollama, GPT4All und Msty –, die in der mit dem Angreifer verbundenen Infrastruktur installiert waren. Lokale Modelle können direkt auf einem Computer oder Server ausgeführt werden, anstatt Konversationen an einen externen Anbieter zu senden, was dem Betreiber mehr Datenschutz bietet.

Genians fand zudem Hinweise darauf, dass die „LocalDocs“-Funktion von GPT4All konfiguriert worden war. Diese Funktion nutzt „Retrieval-Augmented Generation“ (RAG), wodurch ein KI-System eine Sammlung von Dokumenten durchsuchen kann, bevor es Fragen beantwortet. Für Hacker, so warnten die Forscher, könnte diese Fähigkeit es letztendlich erleichtern, große Mengen gestohlener Dokumente zu durchsuchen und zu analysieren. Der Bericht von Genians folgt unmittelbar auf den Coldcard-Exploit und den eskalierenden Rechtsstreit von Bybit gegen Nordkorea.

Die Gruppe scheint sich offenbar auch mit Automatisierung zu beschäftigen. Die Ermittler fanden KI-Entwicklungspakete wie Microsoft Semantic Kernel, Microsoft Agents AI und LLaMaSharp sowie Komponenten zur Anbindung von Programmen an OpenAI- und Azure OpenAI-Dienste. Die Forscher sagten, diese Kombination deute eher auf die Entwicklung spezialisierter KI-gestützter Tools hin als auf gelegentliche Experimente.

KI macht die Phishing-Köder von Kimsuky schwerer zu erkennen

Ein Teil dieser Experimente könnte bereits Auswirkungen auf die Angriffe haben. Seit 2026 beobachten Forscher, dass Kimsuky Dokumente, die vermutlich mit generativer KI erstellt wurden, als Köder in Spear-Phishing-Kampagnen einsetzt, die unter anderem auf virtuelle Vermögenswerte, Finanzinvestitionen und Spieleentwicklung abzielen.

Das ist von Bedeutung, da professionell gestaltete, KI-generierte Dokumente einige der Warnzeichen beseitigen können, auf die sich Nutzer früher verlassen haben, um Phishing zu erkennen. Ungeschickte Übersetzungen, Rechtschreibfehler und schlampige Formatierungen werden zu weniger aussagekräftigen Hinweisen, wenn generative KI schnell professionell aussehende Geschäftsunterlagen erstellen kann. Der zugrunde liegende Angriff bleibt jedoch unverändert. Die Opfer erhalten ZIP-Archive, die bösartige Windows-Verknüpfungsdateien (LNK-Dateien) enthalten, die als legitime Dokumente getarnt sind. Das Öffnen einer solchen Datei kann versteckte PowerShell-Befehle auslösen, während gleichzeitig ein echt aussehendes PDF angezeigt wird, sodass das Opfer nicht bemerkt, dass im Hintergrund bösartige Aktivitäten ablaufen. Kimsuky hat zudem Git-Repositorys als Command-and-Control-Infrastruktur missbraucht. Genians entdeckte schädliche AsyncRAT-Payloads, die verschlüsselt und als Bilddateien mit Namen wie „apple.png“, „fox.png“ und „wolf.png“ getarnt waren. AsyncRAT ist eine Fernzugriffs-Malware, die einem Angreifer die Kontrolle über einen kompromittierten Rechner ermöglicht.

Forscher finden Hinweise auf Nordkorea in den Protokollen

Die Ermittler deckten zudem Beweise auf, die die Aktivitäten mit nordkoreanischen Akteuren in Verbindung bringen. Die Protokolle enthielten den Namen des Systemherstellers „Arirang“ – eine Marke, die mit nordkoreanischen Tablets und Smartphones in Verbindung gebracht wird – sowie Materialien in koreanischer Sprache und sprachliche Muster, die die Forscher als charakteristisch für den nordkoreanischen Sprachgebrauch identifizierten.

In einem anderen Fall zeigten die Protokolle eine Frage in koreanischer Sprache zur Deaktivierung der Berichtsfunktion von Microsoft Defender, die über Google Translate ins Englische übersetzt und anschließend an ChatGPT übermittelt wurde. Die Forscher fanden zudem Suchanfragen im Zusammenhang mit virtuellen Vermögenswerten, darunter eine Anfrage, wo Nutzer von Bitcoin zu finden seien.

Der Bericht geht nicht so weit zu behaupten, dass Kimsuky eigene KI-Modelle entwickelt habe. Die Forscher fanden weder große Trainingsdatensätze noch Hinweise auf eigenständig trainierte Modelle. Stattdessen beschreiben sie eine Gruppe, die noch dabei ist zu lernen, wie sich bestehende KI-Systeme in die Malware-Entwicklung, Datenanalyse und umfassendere Angriffsoperationen integrieren lassen.

Diese Unterscheidung dürfte jedoch nicht lange beruhigend bleiben. Genians warnte, dass die Kombination von RAG mit gestohlenen Dokumenten, Sprach-zu-Text-Tools mit abgefangenen Aufzeichnungen und KI-Agenten mit der bestehenden Malware-Entwicklungsumgebung von Kimsuky den menschlichen Arbeitsaufwand nach einem Einbruch verringern könnte. Für die Verteidiger könnte sich der nächste Kampf zunehmend darauf konzentrieren, zu erkennen, was Malware tut, anstatt zu beurteilen, ob die E-Mail, mit der sie übermittelt wurde, verdächtig aussieht. Im gesamten Krypto-Ökosystem wecken Hacks und Exploits zunehmend den Verdacht, dass KI den Angreifern dabei geholfen hat, diese durchzuführen.