LONDON (IT BOLTWISE) – Eine neue Kette des nordkoreanischen Angreifers Kimsuky kombiniert Fake-Installationsseiten, versteckte Staging-Komponenten und eine Remote-Access-Komponente namens HTTPSpy. Die Angriffe richten sich laut Analysen gegen militärische sowie Unternehmensziele in Südkorea und nutzen wiederkehrende Social-Engineering-Taktiken wie Webex-Imitationen. Besonders auffällig ist die Fähigkeit, Infektionen per JSONPing zu verifizieren und Payloads selektiv zuzustellen. Parallel zeigen Berichte, wie Kimsuky legitime VS-Code-Tunneling-Mechanismen und moderne Tooling-Ansätze für Persistenz und Post-Exploitation einsetzt.
Die jüngsten Beobachtungen zu Kimsuky verdeutlichen, wie ausgefeilt sich staatlich unterstützte Gruppen im Zusammenspiel aus Täuschung, Infiltration und operativer Skalierung weiterentwickeln. Im Fokus steht eine Kampagne mit einem entfernten Zugriffstrojaner namens HTTPSpy, der als scheinbar harmloser Installer für südkoreanische Sicherheitssoftware getarnt wird. Nach übereinstimmenden Auswertungen wurden Ziele in Südkorea im Zeitraum März und April 2026 angegriffen, darunter sowohl militärische Strukturen als auch Unternehmen. Der Kern des neuen Musters: Die Angreifer investieren nicht nur in Payloads, sondern bauen den gesamten Deliver-and-Verify-Workflow so, dass Trefferquote und Steuerbarkeit steigen.
Technisch beginnt die Infektionskette häufig mit einer manipulierten Web-Seite, die sich optisch wie eine legitime Installationsoberfläche liest. In einer beobachteten Variante werden Nutzer nach dem Klick auf einen Download dazu gebracht, eine der zwei ausführbaren Dateien (nos-setup.exe oder astx-setup.exe) zu starten, die als nProtect Online Security bzw. AhnLab Safe Transaction (ASTx) erscheinen. Inhaltlich sind beide Binärdateien jedoch identisch: Sie starten per regsvr32.exe eine zweite Stufe in Form einer DLL (MemLoader.dll), führen danach automatisiert Aufräumlogik aus und entfernen sich anschließend von der Platte. Die nachfolgende DLL-Komponente etabliert Persistenz über einen geplanten Task und kontaktiert ein Command-and-Control-System, um weitere Payloads abzurufen.
Entscheidend für die Wirkung ist, dass die Angreifer die Zustellung nicht als Einbahnstraße behandeln. Laut Analyse wird die Auslieferung durch wiederkehrende HTTP-Requests gesteuert, aus denen das Team gezielt ableiten kann, welche Systeme wirklich infiziert wurden. Dabei taucht eine Technik namens JSONPing auf: Die Malware fragt über JSONP (JSON mit Padding) einen lokal eingerichteten Prüfserver im Zielsystem ab, um den Ausführungsstatus zu verifizieren. Wird keine Ausführung festgestellt, präsentiert das System eine Installationsaufforderung, die wiederum soziale Signale verstärkt. Für die Abwehr bedeutet das: Die Telemetrie zeigt häufig sowohl Täuschungs- als auch Prüfsequenzen, wodurch sich Konsistenz- und Zeitmuster als Detektionshebel eignen.
Neben HTTPSpy fällt eine zweite strategische Linie auf: Kimsuky nutzt Webex-ähnliche Lockseiten als Vertriebsweg, die sich an echten, zeitlich passenden Terminen orientieren. In einem früheren Einsatz wurde parallel ein HTML-Dokument (meeting.html) ausgeliefert, das auf einen echten Meeting-Raum weiterleitet, der zum selben Zeitpunkt stattgefunden haben soll. Genau dieser Ablauf unterstützt die Hypothese, dass die Gruppe zuvor einen Account oder ein Endgerät kompromittiert hat, um den Meetingplan zu erhalten, und danach eine gefälschte Seite für die übrigen Teilnehmer konstruierte. In der April-2026-Variante wird zudem ein Webex-Pop-up genutzt, das zum Herunterladen eines Skripts zum „Fix“ der Kameraerreichbarkeit verleitet; nach der Entpackung folgt ein verschlüsseltes JavaScript-File (fix-camera.jse) als weiterer Umsetzungsbaustein.
Markt- und Branchenbezug zeigen, dass Kimsuky keineswegs bei einem einzelnen Malware-Familiencluster stehen bleibt. Kaspersky beschreibt in diesem Kontext eine Weiterentwicklung mit Microsoft Visual Studio Code (VS Code) Tunneling, Cloudflare Quick Tunnels, DWAgent, großen Sprachmodellen (LLMs) sowie Rust als Bausteinen moderner Entwicklungspipelines. Gleichzeitig wird betont, dass legitime VS-Code-Tunneling-Mechanismen für Persistenz und Post-Exploitation missbraucht werden können, wodurch klassische, malwarebasierte C2-Kanäle teilweise obsolet werden. In Analystenberichten wird zudem auf Überschneidungen zwischen Zielbranchen hingewiesen: Verteidigung, Militär, Regierung, Medizin, Maschinenbau sowie Energie. CrowdStrike hatte bereits in einem European Threat Landscape Report berichtet, dass HTTPSpy in einer früheren Phase (u. a. Mai 2024 bis September 2024) über Credential-Phishing auch in Richtung eines deutschen Verteidigungsherstellers eingesetzt worden sein soll.
Die Einordnung wird noch greifbarer, wenn man die Vielzahl der Staging- und Backend-Module betrachtet, die in Kimsuky-Umgebungen auftauchen. Berichte nennen unter anderem HelloDoor als Rust-basierte Variante eines PebbleDash-Clusters, HttpMalice als jüngere Backdoor-Variante, sowie HttpTroy, das über einen Loader (MemLoad) ausgeliefert wird und Funktionen wie Screenshot-Erfassung, Reverse-Shell und In-Memory-Ausführung kombiniert. Für AppleSeed existieren wiederum zwei Ausprägungen: ein Dropper, der weitere Malware lädt und per C2-Kommandos steuert, sowie eine Spy-Variante, die sensible Daten wie Dokumente, Screenshots, Tastatureingaben und auch Informationen über USB-Laufwerke sammelt. Bemerkenswert ist dabei die Erwähnung einer signaturartigen Extraktion aus C:\GPKI, was als Trend Richtung zielgerichteter Datenerhebung gewertet wird.
Für Enterprise-Teams liegt der wichtigste Punkt nicht nur in der Malware selbst, sondern in der Logik der Kette: Täuschung über Web-Frontends, Staging über systemnahe Interpreter wie regsvr32.exe und PowerShell, danach Persistenz und schließlich die bewusste Steuerung der weiteren Payload-Verteilung. Kimsuky scheint dabei den operativen Vorteil zu suchen, den legitime Infrastruktur und Tooling bieten: Tunneling- und Remote-Übertragungswege wirken im Monitoring weniger auffällig als reine, eigens aufgesetzte C2-Server. In einem Interview-ähnlichen Kontext wird zitiert, dass Kaspersky-Forscher Sojun Ryu davon ausgeht, die Gruppe habe Zugriff auf den Quellcode der Cluster und könne Änderungen vornehmen. „Zwei Cluster haben überlappende Zielsektoren …“ sowie eine Schwerpunktverschiebung hin zu Datenausfiltration: GPKI-Extraktion werde zur Signatur, während PebbleDash-Cluster weiter wachsende Remote-Kontrollmöglichkeiten zeigten.
Ausblickend wird die kombinierte Linie aus Social Engineering, gezielter Verifikationslogik (JSONPing) und Missbrauch legitimer Remote-Mechanismen Unternehmen und SOC-Teams vor eine anspruchsvolle Aufgabe stellen: Man muss nicht nur Dateien und Hashes jagen, sondern auch Verhalten, Netzwerkmuster und Prozessketten konsequent korrelieren. Wer heute Detektionsregeln nur auf klassische C2-Indikatoren stützt, riskiert blinde Flecken, wenn Remote-Zugriffe über etablierte Tunneling- und Agent-Workflows laufen. Gleichzeitig eröffnen die klaren technischen Übergänge in der Kette Ansatzpunkte für Hardening: strikte Kontrolle ausführbarer Downloads, Deaktivierung oder Einschränkung riskanter LOLBins wie regsvr32-Pfade, Monitoring von geplanten Tasks und eine saubere Segmentierung bei Messaging-Administratoren. In den kommenden Monaten dürfte sich der Wettlauf weniger als „neue Malware“ zeigen, sondern als Verbesserung von Zustellbarkeit und Tarnung im Detail.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Kimsuky nutzt HTTPSpy-Ketten mit Fake-Installern und Tarnfunktionen wie JSONPing" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Kimsuky nutzt HTTPSpy-Ketten mit Fake-Installern und Tarnfunktionen wie JSONPing" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Kimsuky nutzt HTTPSpy-Ketten mit Fake-Installern und Tarnfunktionen wie JSONPing« bei Google Deutschland suchen, bei Bing oder Google News!