Nordkoreanische Hackergruppe ScarCruft setzt auf Ransomware

SEOUL / LONDON (IT BOLTWISE) – Die nordkoreanische Hackergruppe ScarCruft, bekannt für ihre Cyber-Spionage-Aktivitäten, hat kürzlich einen neuen Ansatz gewählt, indem sie Ransomware in ihre Angriffe integriert hat. Diese Entwicklung könnte auf eine strategische Neuausrichtung hin zu finanziell motivierten Operationen hinweisen.

Die nordkoreanische Hackergruppe ScarCruft, die von staatlicher Seite unterstützt wird, hat in einer jüngsten Angriffswelle Ransomware eingesetzt, was auf eine mögliche Erweiterung ihrer operativen Ziele hindeutet. Diese Gruppe, die bisher vor allem für Cyber-Spionage gegen hochrangige Personen und Regierungsstellen bekannt war, hat nun auch Ransomware in ihr Arsenal aufgenommen. Laut einem Bericht des südkoreanischen Cybersicherheitsunternehmens S2W wurde eine neuartige Ransomware entdeckt, die den Namen VCD trägt, basierend auf der Dateierweiterung, die sie verschlüsselt.

Die Ransomware hinterlässt zwei Versionen ihrer Lösegeldforderung, eine auf Englisch und eine auf Koreanisch, was auf eine gezielte Ansprache unterschiedlicher Zielgruppen hindeutet. Diese Entwicklung könnte darauf hindeuten, dass ScarCruft nun auch auf finanzielle Gewinne abzielt oder ihre Ziele um disruptive und erpresserische Taktiken erweitert hat. Bisher hat die Gruppe vor allem Ziele in Südkorea, Japan, Vietnam, Russland und Nepal ins Visier genommen.

In einer Kampagne im Juli, die sich gegen Südkoreaner richtete, nutzten die Hacker Phishing-E-Mails mit einem bösartigen Anhang, um Zugang zu den Zielsystemen zu erhalten. Die Köderdatei enthielt eine Nachricht über Postleitzahlenänderungen im Zusammenhang mit Adressänderungen. Die Forscher von S2W identifizierten mehr als neun verschiedene Malware-Typen in dieser Kampagne, darunter die Informationsdiebe LightPeek und FadeStealer sowie NubSpy, eine Hintertür, die die legitime PubNub-Plattform für Echtzeitnachrichten für die Kommando- und Kontrollkommunikation missbraucht.

Interessanterweise nutzt ScarCruft PubNub, eine Plattform, die normalerweise für Chat-Apps und Benachrichtigungen verwendet wird, um bösartigen Datenverkehr in normaler Netzwerkaktivität zu verbergen. Die Forscher schreiben die Operation einer Untergruppe von ScarCruft zu, die als ChinopuNK bekannt ist und zuvor Chinotto-Malware verbreitet hat, die in der Lage ist, Systeminformationen zu exfiltrieren und Angriffe auf Windows- und Android-Systeme zu unterstützen.

In der neuesten Kampagne setzten die Hacker eine neue Variante der Malware ein, die von S2W als ChillyChino bezeichnet wird. Die Forscher sind sich sicher, dass die Kampagne von ScarCruft durchgeführt wurde, da die Nutzung von PubNub für die C2-Kommunikation und der Einsatz von FadeStealer, einer seit mindestens 2023 mit der Gruppe in Verbindung gebrachten Malware, darauf hindeuten. Diese Malware kann Audio aufzeichnen, Tastenanschläge protokollieren und Daten von angeschlossenen tragbaren und Wechseldatenträgern sammeln.

ScarCruft, das angeblich innerhalb des nordkoreanischen Ministeriums für Staatssicherheit operiert, ist eine der aktivsten Hacking-Einheiten des Landes und bekannt dafür, soziale Ingenieurstechniken zu nutzen, um Opfer dazu zu bringen, bösartige Dateien zu öffnen. In einer Kampagne im Mai gaben sich die Hacker als Nordkorea-Experten und ein Think Tank aus, um Opfer dazu zu verleiten, Phishing-E-Mails zu öffnen.

Die jüngste Verwendung von Ransomware durch ScarCruft wirft Fragen über die zukünftige Strategie der Gruppe auf. Nordkoreanische Hackergruppen sind oft in finanziell motivierte Angriffe verwickelt, die dazu dienen, das stark sanktionierte Regime zu finanzieren. Ein Bericht der Vereinten Nationen aus dem letzten Jahr untersuchte fast 60 Cyberangriffe, die angeblich von nordkoreanischen Hackern durchgeführt wurden, darunter Gruppen wie Kimsuky, Lazarus, Andariel und BlueNoroff, die es ihnen ermöglichten, etwa 3 Milliarden US-Dollar über einen Zeitraum von sechs Jahren zu stehlen.

Die Hauptaufgaben dieser Cyberbedrohungsakteure bestehen darin, Informationen von Wert für die Demokratische Volksrepublik Korea zu erlangen und illegal Einnahmen für das Land zu generieren, so die UN-Experten, die damit Anschuldigungen der US-Regierung und anderer internationaler Behörden widerspiegeln.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!