LONDON (IT BOLTWISE) – Unter dem Namen REF9403 haben nordkoreanische Akteure gezielte Entwickler über getarnte SVG-Dateien und gefälschte Coding-Challenges kompromittiert. Laut Elastic Security gelang es dabei, in der getesteten Umgebung mit einer Steganografie-Variante von gängigen Antiviren-Programmen zunächst nicht erkannt zu werden. Der Angriff baut auf einem mehrstufigen Payload-Mechanismus mit der Malware OTTERCOOKIE auf und zielt auf Browser-Zugangsdaten, Krypto-Wallets sowie Konfigurationen KI-gestützter Tools. Zusätzlich spielen Social-Engineering-Kanäle wie Slack und präparierte Archive eine zentrale Rolle, um Daten nachhaltig zu exfiltrieren.
Die Kampagne mit der Kennung REF9403 zeigt einmal mehr, wie eng Künstliche Intelligenz, Entwickler-Workflows und klassische Cyberspionage inzwischen verzahnt sind. Im Kern geht es nicht um einen „großen“ Angriff auf eine einzelne Produktionsumgebung, sondern um eine Kette aus Täuschung und Ausnutzung im Umfeld von Softwareentwicklung. Elastic Security beschreibt, dass Hacker bösartigen Code über getarnte SVG-Dateien in den Kommentarblöcken der Bilddateien platzieren und so Sicherheitsprüfungen umgehen. Besonders brisant ist der zeitliche Ablauf: Die Betroffenen werden zunächst über Social Engineering in gefälschte technische Prüfungen gezogen, bevor dann Zugangsdaten und Krypto-Assets abfließen.
Technisch betrachtet setzt das Vorgehen auf Steganografie in einem Format, das im Alltag meist harmlos wirkt: SVG. Da das Dateiformat XML-basiert ist, lassen sich Kommentare und Metadaten relativ unauffällig einbetten, während die sichtbare Darstellung weiterhin wie eine nationale Flagge aussehen kann. Genau diese visuelle Tarnung reduziert die Wahrscheinlichkeit, dass ein Entwickler die Datei manuell prüft, und erhöht den Anteil an „automatisch“ akzeptierten Artefakten in einer CI-ähnlichen Bearbeitungskette. In der dokumentierten Entdeckung erreichte die Methode zudem eine Erkennungsrate von Null gegen gängige Antiviren-Programme – ein Hinweis darauf, dass Signaturen und Heuristiken allein nicht reichen.
Für den Startpunkt der Kampagne wird zudem „Contagious Interview“ als operativer Name genannt. Dabei kontaktieren die Angreifer potenzielle Opfer über Plattformen wie Slack und lenken sie in gefälschte Coding-Challenges. In einem dokumentierten Fall vom 26. Mai 2026 wurde der Angriff über den Slack-Kanal eines Sicherheitsunternehmens angestoßen. Das Muster erinnert an klassische Spear-Phishing-Logik, wird aber stärker in den Arbeitsalltag von Entwicklern eingewoben: statt eines Bank- oder Lieferketten-Themas stehen technische Prüfungen und kurzfristige „Recruiting“-Anlässe im Vordergrund. Der Unterschied zu vielen breit gefächerten Phishing-Wellen liegt in der Zielgenauigkeit und dem Wissen um typische Toolchains.
Nach erfolgreicher Ansprache landen präparierte Archive beim Opfer – im Beispiel next-ecommerce-private-main.zip. Der Mechanismus ist dabei nicht „nur“ ein Dateidownload, sondern ein mehrstufiges Ausführungsmodell: Sobald ein Entwickler die Coding-Challenge in seiner Arbeitsumgebung startet, aktiviert sich die vierstufige Malware-Payload OTTERCOOKIE. Von dort aus folgt systematisch die Exfiltration sensibler Daten. Laut Beschreibung umfasst das Browser-Zugangsdaten und Cookies, Krypto-Wallets und MetaMask-Credentials sowie Konfigurationsdateien von KI-Tools wie Claude, Cursor und Gemini. Ergänzend kommen Clipboard-Stealer-Funktionen sowie ein Remote-Access-Trojaner mit Socket.IO-Kommunikation hinzu, was die Angreifer in die Lage versetzt, Folgeschritte zu steuern statt nur einmalig Daten abzugreifen.
Aus Markt- und Wettbewerbs-Sicht ist die Meldung auch deshalb relevant, weil es nicht bei „irgendeiner Malware“ bleibt, sondern um eine Lücke im Zusammenspiel von Security-Produkten und Entwickler-Tooling geht. Zwar nennt der Bericht Elastic Security als Entdecker, aber viele Unternehmen verlassen sich weiterhin stark auf Endpunkt-Schutz wie Microsoft Defender oder Lösungen aus dem CrowdStrike-Umfeld. Entscheidend ist jedoch: Wenn Steganografie in legitime Workload-Artefakte eingebettet wird, verschiebt sich der Verteidigungsfokus von reiner Datei-Detektion hin zu Kontext- und Verhaltenssignalen. Dazu zählt etwa die Frage, welche Archive in welchen Kanälen zugelassen sind, wie schnell die Ausführungsumgebung isoliert wird und ob verdächtige Netzwerkverbindungen (z.B. Websocket-/Socket.IO-Traffic) in SOC-Workflows priorisiert werden.
Historisch betrachtet ist das Prinzip „Code verstecken, Kontext ausnutzen“ keineswegs neu. Bereits in früheren Wellen nutzten Angreifer manipulierte Dokumente, komprimierte Container oder Script-Stager, um Signaturtreffer zu umgehen. Neu ist vor allem die Nähe zu aktuellen Entwicklerpraktiken: Teams prüfen heute Dateien nicht nur lokal, sondern integrieren sie in Tools, die Ergebnisse automatisiert verarbeiten – vom Linting bis zur KI-gestützten Codeassistenz. Genau dort treffen REF9403 und OTTERCOOKIE auf die Realität: Konfigurationsdateien für KI-Tools und Wallet-Credentials sind nicht „Nebenrollen“, sondern direkt wertvolle Ziele. Das erklärt auch, warum Gruppen wie Kimsuky oder UNC1069 ihre Methoden kontinuierlich anpassen, etwa über Spear-Phishing mit OneDrive-Links oder über Deepfakes und kompromittierte Telegram-Konten.
Regulatorisch und datenschutztechnisch liegt die größte Herausforderung weniger in der „Hacker-Identität“, sondern in der Frage, was bei einer Kompromittierung häufig passiert: personenbezogene Daten, Zahlungs- und Identitätsinformationen sowie vertrauliche Projektartefakte können auf fremde Infrastrukturen gelangen. Außerdem verschärft die KI-Nutzung die Lage, weil Konfigurationsdaten den Zugriff auf Lese-/Schreibrechte oder Kontextinformationen enthalten können, die für spätere Angriffe wiederverwendbar sind. Für Unternehmen folgt daraus: Zero-Trust-Prinzipien müssen auf den Entwicklungsprozess ausgedehnt werden. Praktisch heißt das, Code aus Bewerbungsverfahren nur in isolierten Umgebungen auszuführen, Artefakte zu sandboxen und den Zugriff auf Wallets sowie Browser-Sessions strikt zu trennen. Damit reduziert sich die Wirkung einer Payload auch dann, wenn Nutzer den Angriff „mechanisch“ starten.
Mit Blick auf die Zukunft ist davon auszugehen, dass solche Kampagnen weiter in Richtung „Pipeline-Angriffe“ wandern: nicht nur Dateien liefern, sondern ganze Verarbeitungsketten kompromittieren – vom Slack-Einstieg über präparierte Archive bis hin zu exfiltrationsfähigen Kommunikationskanälen. Entwickler können kurzfristig die Wahrscheinlichkeit senken, indem sie Challenge-Downloads nur aus freigegebenen Quellen annehmen, Ausführung in Offline-Sandboxes verankern und zusätzlich Netzwerkregeln für ungewöhnliche Socket-Kommunikation konsequent überwachen. Für Security-Teams bedeutet das: Signaturbasierte Regeln sollten durch Content- und Kontextanalysen ergänzt werden, etwa indem Parser/Format-spezifische Anomalien bei SVG-Dateien stärker bewertet werden. Langfristig dürften Angreifer zudem stärker auf die KI-Ökosysteme selbst abzielen, etwa indem sie nicht nur Credentials, sondern auch Prompt-/Projektkontexte als „Beute“ verstehen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Nordkorea-Kampagne REF9403: Wie getarnte SVGs Zugangsdaten und Krypto abgreifen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Nordkorea-Kampagne REF9403: Wie getarnte SVGs Zugangsdaten und Krypto abgreifen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Nordkorea-Kampagne REF9403: Wie getarnte SVGs Zugangsdaten und Krypto abgreifen« bei Google Deutschland suchen, bei Bing oder Google News!