Einnahmen für das nordkoreanische Regime

Die Cyberkriminellen-Gruppe TA444 nutzt Kampagnen der Gruppe nutzen Blockchain-bezogene Köder

Die neuesten Aktionen von TA444 überschneiden sich teilweise mit Aktivitäten, die Cybercrime-Akteuren wie APT38, Stardust Chollima und COPERNICIUM zuzuschreiben sind



Die Cyberkriminellen-Gruppe TA444 ist zu einem wichtigen Devisenlieferanten für das nordkoreanische Regime geworden. TA444, die mit dem nordkoreanischen Regime in Verbindung gebracht wird, hat seine Opfer allein im letzten Jahr um 1 Milliarde US-Dollar in Kryptowährungen erleichtert. Das haben Cybersecurity-Forscher von Proofpoint errechnet.

Die neuesten Aktionen von TA444 überschneiden sich teilweise mit Aktivitäten, die Cybercrime-Akteuren wie APT38, Stardust Chollima und COPERNICIUM zuzuschreiben sind. Die Aktivitäten der Gruppe zielen höchstwahrscheinlich darauf, Einnahmen für das nordkoreanische Regime zu generieren.

Die Kampagnen der Gruppe nutzen Blockchain-bezogene Köder, gefälschte Jobangebote renommierter Unternehmen oder vermeintliche Informationen zu Gehaltserhöhungen, um die Opfer zu einem Klick zu verleiten.

Greg Lesnewich, Senior Threat Researcher bei Proofpoint kommentiert die neuesten Untersuchungsergebnisse: "Mit seiner Startup-Mentalität und seiner Leidenschaft für Kryptowährungen bildet TA444 die Speerspitze bei der Devisenbeschaffung für das nordkoreanische Regime, indem die Gruppe Gelder beschafft, die gewaschen werden können. Diese Gruppe entwickelt schnell neue Angriffsmethoden und nutzt soziale Medien als Teil ihrer Vorgehensweise. Im Jahr 2022 hat TA444 sich auf Kryptowährungen konzentriert und eine Vielzahl verschiedener Infektionsketten getestet, um ihre Einnahmequellen auszuweiten."

Das Wichtigste im Überblick

>> TA444 ist eine vom nordkoreanischen Staat geförderte Hackergruppe, die im Jahr 2022 zahlreiche Infektionsmethoden eingesetzt hat.

>> TA444 bildet die Ausnahme unter den staatlich gelenkten Cybercrime-Akteuren, insofern ihre primären Operationen finanziell motiviert sind und ihre Infektionsketten einen Mikrokosmos der Cyberkriminalitätslandschaft bilden.

>> Während TA444 seit mindestens 2017 aktiv ist, entwickelt die Gruppe neuerdings eine typische Startup-Mentalität.

Übersicht

In der Welt der Tech-Startups ist häufig die Rede von den Vorteilen schneller Iteration, Produkttests im laufenden Betrieb und einer bestimmten Fehlerkultur ("Failing Forward”). TA444 hat sich dieses Mantra zu Herzen genommen. Die Aktivitäten von TA444 überschneiden sich teilweise mit öffentlich bekannt gewordenen Aktionen von Gruppen wie APT38, Bluenoroff, BlackAlicanto, Stardust Chollima und COPERNICIUM. Die Aufgabe der Gruppe besteht wahrscheinlich darin, Einnahmen für das nordkoreanische Regime zu erzielen. In der Vergangenheit gerieten Banken ins Visier der Cyberkriminellen, um Bargeld an das isolierte Land zu transferieren bzw. Helfer im Ausland zu unterstützen. In jüngster Zeit hat TA444 sein Augenmerk, ähnlich wie die Tech-Industrie, auf Kryptowährungen gerichtet. Auch greift TA444 zunehmend auf Methoden zurück, die gemeinhin eher von Startups bekannt sind.

Fail Fast mit Dateitypvariationen

Am Anfang seiner Aktivitäten rund um Blockchain und Kryptowährungen setzte TA444 auf zwei Methoden, um sich primären Zugang zu verschaffen: eine LNK-basierte Infektionskette und eine Kette, die auf Dokumente unter Verwendung von Remote-Vorlagen zurückgriff. Diese Kampagnen wurden üblicherweise als DangerousPassword, CryptoCore oder SnatchCrypto bezeichnet. 2022 nutzte TA444 nach wie vor beide Methoden, versuchte sich aber auch an anderen Dateitypen für den Erstzugang. Obwohl sich TA444 in früheren Kampagnen nicht so sehr auf Makros verlassen hatte, folgte die Gruppe im Sommer und Herbst dem Beispiel anderer Gruppen Cyberkrimineller, und suchte zusätzliche Dateitypen, mit deren Hilfe sie Payloads einschleusen konnte.

Ebenso atypisch wie die neuen Infektionsketten ist das Fehlen einer einheitlichen Payload, die am Ende der Kette steht. Wenn andere finanziell motivierte Hackergruppen neue Verbreitungsmethoden testen, neigen sie dazu, ihre traditionellen Payloads zu verwenden. Dies ist bei TA444 jedoch nicht der Fall und könnte ein Beleg dafür sein, dass es neben den TA444-Betreibern auch eine assoziierte oder zumindest eine engagierte Malware-Entwicklungsabteilung gibt.

Der Go-to-Market

Um Opfer dazu zu bringen, auf bösartige Links zu klicken, verfolgt TA444 eine umfassende Marketingstrategie, mit der ihre Chancen auf Steigerung der Einnahmen erhöht werden soll. Alles beginnt mit der Erstellung von Ködern, die für eine Zielperson interessant oder relevant sein könnten. Dazu können Analysen von Kryptowährungs-Blockchains, vermeintliche Jobangebote bei renommierten Unternehmen oder vorgebliche Informationen zu Gehaltserhöhungen gehören.

TA444 hat auch E-Mail-Marketing-Tools wie SendInBlue und SendGrid missbraucht, um seine Zielgruppe anzusprechen. Sie dienen der Gruppe entweder dazu, die Opfer zu in der Cloud gehosteten Dateien zu leiten, oder verbinden die Opfer direkt mit der Infrastruktur von TA444. Die Verwendung von MArketing-Tools erhöht die Erfolgsaussichten der Cyberkriminellen, weil Marketing-E-Mail von einigen Anti-Phishing-Schulungen nicht ausreichend berücksichtigt werden.

Wie bei anderen Unternehmen in der Tech- und Kryptowährungsbranche überwacht jemand in der Organisation von TA444 die sozialen Netzwerke. Dies ist ein wichtiger Aspekt in der Arbeit von TA444, weil die Gruppe auch LinkedIn nutzt, um mit Opfern in Kontakt zu treten, bevor sie ihnen Links zu Malware sendet. Proofpoint hat beobachtet, dass die Gruppe sehr versiert auf Englisch, Spanisch, Polnisch und Japanisch kommuniziert.

Zuordnung

Proofpoint gruppiert die TA444-Aktivitäten auf Basis von Malware-Herkunft, Verhaltensheuristik und First-Stage Tooling. Frühere TA444-Operationen, wie die Attacke auf die Bangladesh Bank im Jahr 2016 und die Angriffe auf Kryptowährungsunternehmen, wurden von den Vereinigten Staaten mit der nordkoreanischen Regierung in Verbindung gebracht.

Das US-Finanzministerium verhängte Sanktionen gegen zwei Coin Mixing Services, Tornado Cash und BlenderIO, weil sie es den TA444-Hintermännern ermöglichten, mehr als 120 Millionen US-Dollar an Kryptowährung zu waschen, die bei verschiedenen Organisationen gestohlen wurden. Das US Federal Bureau of Investigation schrieb den Raub einer größeren Menge an Kryptowährungen der APT38-Gruppe zu, die sich stark mit TA444 überschneidet und deren Finansströme später mittels BlenderIO verschleiert wurden. Diese Zuschreibung unterstreicht, wie sehr TA444 auf das Kryptowährungsökosystem angewiesen ist, um Gelder zu stehlen, sie zu waschen und letztlich zu nutzen. Die jüngsten Aktivitäten von TA444 belegen, wie anpassungsfähig die Gruppe ist und wie sie ihre Methoden anpasst, um weiterhin erfolgreich zu sein.

Fazit

Auch wenn TA444 ein ungewöhnliches und zuweilen kaum nachzuvollziehendes Verhalten an den Tag legt, handelt es sich bei der Gruppe um einen cleveren und fähigen Angreifer, der bereit und in der Lage ist, seine Opfer um Hunderte von Millionen Dollar zu betrügen. Es wird geschätzt, dass TA444 und verwandte Cluster im Jahr 2021 Kryptowährungen und damit verbundene Vermögenswerte im Wert von fast 400 Millionen US-Dollar gestohlen haben. Im Jahr 2022 übertraf die Gruppe diesen Wert allein mit einem einzigen Raubüberfall, bei dem sie über 500 Millionen US-Dollar erbeutet hat. Insgesamt konnte die Gruppe im Jahr 2022 mehr als 1 Milliarde Dollar stehlen. Nordkorea hat, wie andere Nutzer von Kryptowährungen, deren Wertverfall überstanden, und nutzt Kryptowährungen weiterhin, um dem Regime nutzbare Mittel zur Verfügung zu stellen. (Proofpoint: ra)

eingetragen: 26.01.23
Newsletterlauf: 22.03.23

Proofpoint: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Hintergrund

Ausnutzung der "In der App öffnen"-Funktion

Die Sicherheitsforscher der Varonis Threat Labs haben zwei Techniken in SharePoint entdeckt, die es Usern ermöglichen, Audit-Protokolle zu umgehen und Download-Ereignisse zu verschleiern. Auf diese Weise können sensitive Daten exfiltriert werden, da Tools wie Cloud Access Security Brokers (CASB), Data Loss Prevention (DLP) und SIEMs die Downloads als weniger verdächtige Zugriffs- und Synchronisierungsereignisse einstufen.

KI trifft auf Datendiebstahl

Die Bitdefender Labs warnen vor einer großangelegten Malvertising-Kampagne auf Facebook, die das große Interesse an neuen KI-Diensten wie ChatGPT oder Midjourney nutzt, um Nutzer mit Malware zu infizieren und ihre Daten zu stehlen. Die Kampagne der Cyberkriminellen läuft bereits seit circa einem Jahr und ist derzeit weiterhin aktiv.

Atomic Stealer-Angriffe über Werbeanzeigen

Das Threat Labs-Team von Jamf, Anbieterin für die Verwaltung und den Schutz von Apple-Geräten, hat zwei Angriffsmethoden identifiziert, die speziell auf macOS-Betriebssysteme abzielen. Ihr Ziel: Sensible Daten der Nutzer zu stehlen. Innerhalb des vergangenen Jahres wurden diese sogenannten Infostealer-Angriffe insbesondere bei Nutzern beobachtet, die in der Kryptowährungsbranche tätig waren oder in Kryptowährungen investiert hatten.

Angreifer suchen nach einer Apache-Druid-Schwachstelle

Aqua Securitys Team Nautilus hat eine neue Kryptomining-Kampagne namens Lucifer entdeckt, die auf Apache abzielt und darin insbesondere auf die bei vielen Nutzern beliebten Software-Libraries Hadoop und Druid. Die Angreifer nutzen hierfür bestehende Fehlkonfigurationen und Schwachstellen aus.

Besuchen Sie SaaS-Magazin.de

SaaS, On demand, ASP, Cloud Computing, Outsourcing >>>

Kostenloser Newsletter

Werktäglich informiert mit IT SecCity.de, Compliance-Magazin.de und SaaS-Magazin.de. Mit einem Newsletter Zugriff auf drei Online-Magazine. Bestellen Sie hier

Fachartikel

Grundlagen

Big Data bringt neue Herausforderungen mit sich

Die Digitale Transformation zwingt Unternehmen sich mit Big Data auseinanderzusetzen. Diese oft neue Aufgabe stellt viele IT-Teams hinsichtlich Datenverwaltung, -schutz und -verarbeitung vor große Herausforderungen. Die Nutzung eines Data Vaults mit automatisiertem Datenmanagement kann Unternehmen helfen, diese Herausforderungen auch mit kleinen IT-Teams zu bewältigen. Big Data war bisher eine Teildisziplin der IT, mit der sich tendenziell eher nur Großunternehmen beschäftigen mussten. Für kleinere Unternehmen war die Datenverwaltung trotz wachsender Datenmenge meist noch überschaubar. Doch die Digitale Transformation macht auch vor Unternehmen nicht halt, die das komplizierte Feld Big Data bisher anderen überlassen haben. IoT-Anwendungen lassen die Datenmengen schnell exponentiell anschwellen. Und während IT-Teams die Herausforderung der Speicherung großer Datenmengen meist noch irgendwie in den Griff bekommen, hakt es vielerorts, wenn es darum geht, aus all den Daten Wert zu schöpfen. Auch das Know-how für die Anforderungen neuer Gesetzgebung, wie der DSGVO, ist bei kleineren Unternehmen oft nicht auf dem neuesten Stand. Was viele IT-Teams zu Beginn ihrer Reise in die Welt von Big Data unterschätzen, ist zum einen die schiere Größe und zum anderen die Komplexität der Datensätze. Auch der benötigte Aufwand, um berechtigten Zugriff auf Daten sicherzustellen, wird oft unterschätzt.

Bösartige E-Mail- und Social-Engineering-Angriffe

Ineffiziente Reaktionen auf E-Mail-Angriffe sorgen bei Unternehmen jedes Jahr für Milliardenverluste. Für viele Unternehmen ist das Auffinden, Identifizieren und Entfernen von E-Mail-Bedrohungen ein langsamer, manueller und ressourcenaufwendiger Prozess. Infolgedessen haben Angriffe oft Zeit, sich im Unternehmen zu verbreiten und weitere Schäden zu verursachen. Laut Verizon dauert es bei den meisten Phishing-Kampagnen nur 16 Minuten, bis jemand auf einen bösartigen Link klickt. Bei einer manuellen Reaktion auf einen Vorfall benötigen Unternehmen jedoch circa dreieinhalb Stunden, bis sie reagieren. In vielen Fällen hat sich zu diesem Zeitpunkt der Angriff bereits weiter ausgebreitet, was zusätzliche Untersuchungen und Gegenmaßnahmen erfordert.

Zertifikat ist allerdings nicht gleich Zertifikat

Für Hunderte von Jahren war die Originalunterschrift so etwas wie der De-facto-Standard um unterschiedlichste Vertragsdokumente und Vereinbarungen aller Art rechtskräftig zu unterzeichnen. Vor inzwischen mehr als einem Jahrzehnt verlagerten sich immer mehr Geschäftstätigkeiten und mit ihnen die zugehörigen Prozesse ins Internet. Es hat zwar eine Weile gedauert, aber mit dem Zeitalter der digitalen Transformation beginnen handgeschriebene Unterschriften auf papierbasierten Dokumenten zunehmend zu verschwinden und digitale Signaturen werden weltweit mehr und mehr akzeptiert.

Datensicherheit und -kontrolle mit CASBs

Egal ob Start-up oder Konzern: Collaboration Tools sind auch in deutschen Unternehmen überaus beliebt. Sie lassen sich besonders leicht in individuelle Workflows integrieren und sind auf verschiedenen Endgeräten nutzbar. Zu den weltweit meistgenutzten Collaboration Tools gehört derzeit Slack. Die Cloudanwendung stellt allerdings eine Herausforderung für die Datensicherheit dar, die nur mit speziellen Cloud Security-Lösungen zuverlässig bewältigt werden kann. In wenigen Jahren hat sich Slack von einer relativ unbekannten Cloud-Anwendung zu einer der beliebtesten Team Collaboration-Lösungen der Welt entwickelt. Ihr Siegeszug in den meisten Unternehmen beginnt häufig mit einem Dasein als Schatten-Anwendung, die zunächst nur von einzelnen unternehmensinternen Arbeitsgruppen genutzt wird. Von dort aus entwickelt sie sich in der Regel schnell zum beliebtesten Collaboration-Tool in der gesamten Organisation.

KI: Neue Spielregeln für IT-Sicherheit

Gerade in jüngster Zeit haben automatisierte Phishing-Angriffe relativ plötzlich stark zugenommen. Dank künstlicher Intelligenz (KI), maschinellem Lernen und Big Data sind die Inhalte deutlich überzeugender und die Angriffsmethodik überaus präzise. Mit traditionellen Phishing-Angriffen haben die Attacken nicht mehr viel gemein. Während IT-Verantwortliche KI einsetzen, um Sicherheit auf die nächste Stufe zu bringen, darf man sich getrost fragen, was passiert, wenn diese Technologie in die falschen Hände, die der Bad Guys, gerät? Die Weiterentwicklung des Internets und die Fortschritte beim Computing haben uns in die Lage versetzt auch für komplexe Probleme exakte Lösungen zu finden. Von der Astrophysik über biologische Systeme bis hin zu Automatisierung und Präzision. Allerdings sind alle diese Systeme inhärent anfällig für Cyber-Bedrohungen. Gerade in unserer schnelllebigen Welt, in der Innovationen im kommen und gehen muss Cybersicherheit weiterhin im Vordergrund stehen. Insbesondere was die durch das Internet der Dinge (IoT) erzeugte Datenflut anbelangt. Beim Identifizieren von Malware hat man sich in hohem Maße darauf verlassen, bestimmte Dateisignaturen zu erkennen. Oder auf regelbasierte Systeme die Netzwerkanomalitäten aufdecken.

DDoS-Angriffe nehmen weiter Fahrt auf

DDoS-Attacken nehmen in Anzahl und Dauer deutlich zu, sie werden komplexer und raffinierter. Darauf machen die IT-Sicherheitsexperten der PSW Group unter Berufung auf den Lagebericht zur IT-Sicherheit 2018 des Bundesamtes für Sicherheit in der Informationstechnik (BSI) aufmerksam. Demnach gehörten DDoS-Attacken 2017 und 2018 zu den häufigsten beobachteten Sicherheitsvorfällen. Im dritten Quartal 2018 hat sich das durchschnittliche DDoS-Angriffsvolumen im Vergleich zum ersten Quartal mehr als verdoppelt. Durchschnittlich 175 Angriffen pro Tag wurden zwischen Juli und September 2018 gestartet. Die Opfer waren vor allem Service-Provider in Deutschland, in Österreich und in der Schweiz: 87 Prozent aller Provider wurden 2018 angegriffen. Und bereits für das 1. Quartal dieses Jahres registrierte Link11 schon 11.177 DDoS-Angriffe.

Fluch und Segen des Darkwebs

Strengere Gesetzesnormen für Betreiber von Internet-Plattformen, die Straftaten ermöglichen und zugangsbeschränkt sind - das forderte das BMI in einem in Q1 2019 eingebrachten Gesetzesantrag. Was zunächst durchweg positiv klingt, wird vor allem von Seiten der Bundesdatenschützer scharf kritisiert. Denn hinter dieser Forderung verbirgt sich mehr als nur das Verbot von Webseiten, die ein Tummelplatz für illegale Aktivitäten sind. Auch Darkweb-Plattformen, die lediglich unzugänglichen und anonymen Speicherplatz zur Verfügung stellen, unterlägen der Verordnung. Da diese nicht nur von kriminellen Akteuren genutzt werden, sehen Kritiker in dem Gesetzesentwurf einen starken Eingriff in die bürgerlichen Rechte. Aber welche Rolle spielt das Darkweb grundsätzlich? Und wie wird sich das "verborgene Netz" in Zukunft weiterentwickeln? Sivan Nir, Threat Analysis Team Leader bei Skybox Security, äußert sich zu den zwei Gesichtern des Darkwebs und seiner Zukunft.

Diese Webseite verwendet Cookies - Wir verwenden Cookies, um Inhalte und Anzeigen zu personalisieren, Funktionen für soziale Medien anbieten zu können und die Zugriffe auf unsere Website zu analysieren. Außerdem geben wir Informationen zu Ihrer Verwendung unserer Website an unsere Partner für soziale Medien, Werbung und Analysen weiter. Unsere Partner führen diese Informationen möglicherweise mit weiteren Daten zusammen, die Sie ihnen bereitgestellt haben oder die sie im Rahmen Ihrer Nutzung der Dienste gesammelt haben. Mit dem Klick auf „Erlauben“erklären Sie sich damit einverstanden. Weiterführende Informationen erhalten Sie in unserer Datenschutzerklärung.