Nordkoreanische Konni-Gruppe missbraucht Google Find Hub und KakaoTalk, um in Südkorea Smartphones zurückzusetzen und Malware zu verbreiten

Wie nordkoreanische Agenten vertrauenswürdige Apps gegen Südkoreaner einsetzten

Nordkoreanische staatlich unterstützte Cyberakteure führten eine koordinierte Kampagne durch, bei der sie alltägliche Tools als Angriffswege nutzten, wie forensische Ermittler in Südkorea berichten. Die Gruppe, die mit dem Konni-Cluster aus Pjöngjang nahestehenden Akteuren in Verbindung gebracht wird, stahl Zugangsdaten für Google-Konten, übernahm über den Google-Dienst „Find Hub“ aus der Ferne die Kontrolle über Android-Smartphones und -Tablets und kapert anschließend KakaoTalk-Konten, um Malware über reale Kontaktnetzwerke zu verbreiten. Forschende beschreiben den Fall als ersten bestätigten Fall, in dem eine mit Nordkorea verbundene Operation Google-Konten kompromittierte, um Smart-Geräte über integrierte Verwaltungsfunktionen aus der Ferne zu steuern.

Sicherheitsanalysten des Genians Security Center zufolge gaben sich die Angreifer zunächst als Steuerbeamte aus, um Malware einzuschleusen. Nach einer Phase unauffälliger Überwachung meldeten sich die Eindringlinge bei den gestohlenen Google-Konten an. Über Find Hub, ein Sicherheitsdienst für Verbraucher, mit dem Besitzer verlorene Geräte orten und schützen können, verfolgten sie die Standorte der Smartphones und veranlassten Fern-Resets auf die Werkseinstellungen. Dabei wurden persönliche Daten gelöscht und Benachrichtigungen vorübergehend unterdrückt, was den Erfolg der nächsten Phase begünstigte.

Da die Ziele keine Anrufe und Benachrichtigungen empfangen konnten, verlagerte sich die Operation auf den weiterhin angemeldeten KakaoTalk-Desktopclient. Unter dem Namen der Opfer und mit deren vertrautem Chatverlauf verschickten die Angreifer über die Kontaktlisten schädliche Dateien, die als Programme zur Stressbewältigung getarnt waren. So konnte sich die Malware über bestehendes Vertrauen verbreiten. Zugleich wurde sie später entdeckt, weil viele Opfer keinen Zugriff auf ihre Smartphones hatten oder mit deren Wiederherstellung beschäftigt waren.

Google erklärte, die Angreifer hätten gültige Kontozugänge und legitime Funktionen missbraucht; eine Schwachstelle in Android oder Find Hub sei nicht ausgenutzt worden. Das Unternehmen empfiehlt, die Zwei-Faktor-Authentifizierung oder Passkeys zu aktivieren. Personen mit hohem Risiko sollten sich für den erweiterten Schutz anmelden.

Was bei den Angriffen geschah

Die Operation verlief in mehreren Phasen, in denen sich Köder-E-Mails, Kontodiebstahl, cloudbasierte Gerätesteuerung und der Missbrauch eines Messengers verbanden. Der Fall zeigt, wie Angreifer vorhandene Mittel nutzen: Integrierte Dienste und vertrauenswürdige Apps werden zu Werkzeugen der Angreifer. Zwei von den Ermittlern näher beschriebene Vorfälle, darunter Fälle vom 5. und 15. September, zeigen, wie schnell sich Malware im privaten und beruflichen Umfeld verbreiten kann, sobald ein einzelnes Konto kompromittiert wurde.

Schritt 1: Spear-Phishing und erster Zugriff

Der Angriff begann mit gezielten Nachrichten, in denen sich die Absender als südkoreanischer Nationaler Steuerdienst ausgaben. Die Opfer wurden dazu gebracht, Anhänge oder Installationsprogramme zu öffnen, die legitim wirkten. Dazu gehörten Dateien, die als signierte MSI-Installationspakete gebündelt waren. Im Hintergrund führten diese Dateien Skripte aus, die den dauerhaften Zugriff sicherten und Fernzugriffswerkzeuge herunterluden. Analysten beobachteten mehrere Malware-Familien, die die vollständige Kontrolle über Windows-Systeme ermöglichen, darunter Lilith RAT, Remcos RAT, Quasar RAT und RftRAT sowie auf AutoIt basierende Loader. Die Malware untersuchte die Systeme, griff im Browser gespeicherte Zugangsdaten ab und überwachte Aktivitäten, um den Kontodiebstahl vorzubereiten.

Zu den Zielen gehörten Menschen, die mit nordkoreanischen Überläufern arbeiten, sowie Menschenrechtsaktivisten. Einige Köder waren als hilfreiche Programme zur Stressbewältigung gestaltet. Indem die Angreifer ihre Nachrichten auf die Rolle und Anliegen der Empfänger zuschnitten, erhöhten sie die Wahrscheinlichkeit, dass eine Datei geöffnet wurde. So verschafften sie sich Zugang zu einem privaten Computer.

Schritt 2: Kontoübernahme und Missbrauch von Find Hub

Nachdem die Malware installiert war, stahlen die Angreifer Zugangsdaten für Dienste wie Google und Naver. Mit den gestohlenen Google-Zugangsdaten riefen sie Find Hub auf. Über den Dienst können Gerätebesitzer den zuletzt bekannten Standort eines Smartphones abfragen und Befehle wie „Ton abspielen“ oder „Gerät auf Werkseinstellungen zurücksetzen“ ausführen. Die Eindringlinge fragten den Standort ab, um zu prüfen, ob das Ziel sein Smartphone gerade nicht aktiv nutzte, und lösten anschließend den Fern-Reset aus. Ermittler fanden außerdem Hinweise darauf, dass die Angreifer in einigen Fällen Sicherheitswarnungen per E-Mail löschten und den Papierkorb des Postfachs leerten, um ihre Spuren zu verwischen. Sie erteilten mehrere Reset-Befehle, um die Wiederherstellung zu erschweren und Beweise auf dem Smartphone zu verringern.

Nach dem Zurücksetzen konnte der Besitzer keine neuen Benachrichtigungen mehr sehen, auch keine dringenden Nachrichten von Kontakten, die sich nach verdächtigen Dateien erkundigten. Beim Zurücksetzen wurden zudem Hinweise entfernt, die den Angriff hätten aufdecken können. Das verschaffte den Angreifern Zeit, den nächsten Schritt über ein anderes Gerät auszuführen, auf dem die Konten des Opfers noch angemeldet waren.

Schritt 3: KakaoTalk als Verstärker für Malware

KakaoTalk ist in Südkorea nahezu allgegenwärtig, und viele Nutzer lassen eine Desktop-Sitzung angemeldet. Nach dem Zurücksetzen des Smartphones wechselten die Angreifer zum KakaoTalk-PC-Client des Opfers, um schädliche Dateien schnell zu verbreiten. Die Nachrichten wurden unter dem echten Namen und mit dem Profilfoto des Opfers verschickt, oft mit einer kurzen Notiz und einem Anhang. Empfänger, die dem Absender vertrauten, öffneten die Datei. Dadurch wurde Malware installiert und die Zahl der kompromittierten Geräte stieg. In einem Fall wurden innerhalb weniger Minuten Nachrichten an mehr als 30 Kontakte verschickt. In einem anderen Fall erfolgte zehn Tage später eine breit angelegte, gleichzeitige Verteilung über ein weiteres kompromittiertes Konto.

Wer hinter der Kampagne steckt

Die Aktivitäten werden dem Konni-Cluster zugeschrieben, einem mit Nordkorea verbundenen Cyberspionagenetzwerk, das Überschneidungen mit Gruppen aufweist, die weithin als Kimsuky und APT37 geführt werden. Sicherheitsanbieter verwenden unterschiedliche Namen für dieselben oder eng verbündete Akteure, darunter Earth Imp, Opal Sleet, Osmium, TA406 und Vedalia. Diese Teams nutzen bei Kampagnen gegen südkoreanische Regierungsstellen, Bildungseinrichtungen, Medien, zivilgesellschaftliche Organisationen und Kryptowährungsgemeinschaften gemeinsame Infrastruktur und Werkzeuge.

Nordkoreanische Akteure haben schon früher Mobilgeräte ins Visier genommen. So haben Forschende Android-Spionagesoftware dokumentiert, die sich als Dienstprogramme oder Sicherheits-Apps ausgibt und unter anderem Audio aufnehmen, Bildschirminhalte erfassen und Dateien abgreifen kann. Neu an der aktuellen Kampagne ist der Missbrauch einer kontobasierten Geräteverwaltung, um Smartphones zurückzusetzen, gefolgt vom unmittelbaren Wechsel zu einer Desktop-Messengersitzung, um die Malware weiterzuverbreiten. Die Kombination deutet auf eine ausgefeilte Koordination über mehrere Plattformen hinweg hin und nicht auf eine einzelne, isoliert agierende Malware.

Warum der Missbrauch von Find Hub einen Wendepunkt markiert

Seit Jahren kombinieren mit Nordkorea verbundene Gruppen maßgeschneiderte Malware mit gestohlenen Zugangsdaten und legitimen Werkzeugen. Der Missbrauch von Find Hub verschärft die Bedrohung, weil eine Sicherheitsfunktion für Verbraucher so zum Werkzeug für Fernlöschungen und Ablenkungsmanöver wird. Ein Reset setzt ein Smartphone außer Gefecht, löscht Spuren der Spionage und unterdrückt externe Warnungen genau dann, wenn sie am wichtigsten wären. Dadurch entsteht eine Gelegenheit, eine angemeldete Desktop-Sitzung zur schnellen Verbreitung zu nutzen.

Das Vorgehen erschwert auch die Reaktion auf Sicherheitsvorfälle. Ein Teil der Telemetriedaten und Beweise, die auf dem Smartphone gespeichert wären, verschwindet beim Zurücksetzen. Die relevanten Aktivitäten verteilen sich auf das Gerät, das Cloud-Konto und den Desktopclient. Um den Ablauf vollständig zu rekonstruieren, müssen Verteidiger Daten aus allen drei Quellen erfassen. Analysten von Genians bezeichneten die Methode als Wendepunkt bei fortgeschrittenen, mit Nordkorea verbundenen Operationen.

In einem Bericht zu dem Fall schrieb das Genians Security Center:

Diese Kombination aus dem Außergefechtsetzen von Geräten und der Verbreitung über Konten ist bei bisher bekannten staatlich unterstützten APT-Szenarien beispiellos.

Folgen für die Opfer und die menschliche Belastung

Die Eindringlinge wählten ihre Ziele nicht zufällig aus. Ermittlern zufolge wurde das Smartphone eines psychologischen Beraters, der nordkoreanische Überläufer unter Studierenden unterstützt, am 5. September zurückgesetzt. Kurz darauf wurde das KakaoTalk-Konto des Beraters genutzt, um Klienten eine als Programm zur Stressbewältigung gekennzeichnete Datei zu schicken. Nachdem mehrere Empfänger sie geöffnet hatten, wurden ihre Geräte infiziert. Die Wahl des Messengers und die Formulierung der Nachricht setzten auf Vertrauen und auf deren Bezug zum Leben der Empfänger.

Zehn Tage später erlebte eine Menschenrechtsaktivistin mit Schwerpunkt Nordkorea einen ähnlichen Vorfall. Ihr Android-Gerät wurde über Find Hub aus der Ferne zurückgesetzt. Anschließend verschickte das KakaoTalk-Konto der Aktivistin schädliche Dateien an 36 Bekannte. In beiden Fällen konnten die Smartphones der Opfer während der entscheidenden ersten Stunden keine Anrufe oder Warnmeldungen empfangen. Dadurch verzögerten sich Warnungen von Kontakten, denen etwas verdächtig vorkam.

Bei einigen Opfern wurden durch das Zurücksetzen Fotos, Dokumente, Kontakte und Arbeitsergebnisse gelöscht. Ermittler fanden auf infizierten PCs außerdem Malware-Module, die Webcams und Mikrofone steuern können. Das weckt die Sorge, dass Kameras möglicherweise dazu genutzt wurden, vor dem Auslösen der Resets zu prüfen, ob die Opfer anwesend waren. Menschen, die in Südkorea mit Überläufern und zivilgesellschaftlichen Gruppen arbeiten, sind bereits besonderen Risiken ausgesetzt. Die Kampagne zeigt, wie sich der digitale Alltag gegen sie wenden kann und dabei persönliche wie berufliche Folgen hat.

Reaktionen von Experten und Behörden

Die südkoreanische Polizei hat Ermittlungen zu den beiden Vorfällen im September aufgenommen. Analysten erklärten, Code und Methoden entsprächen bekannten Mustern, die zuvor mit Nordkorea nahestehenden Gruppen in Verbindung gebracht wurden. Die Ermittler riefen potenzielle Ziele, darunter Berater und Aktivisten, dazu auf, sowohl ihre Desktop- als auch ihre Mobilgeräte umfassend auf kompromittierte Konten zu überprüfen.

Sicherheitsteams betonen, dass die Angreifer keine Programmierfehler in Android oder Find Hub ausnutzen mussten. Sie brauchten gültige Zugangsdaten und Zugriff auf vertrauenswürdige Apps. Forschende empfehlen Dienstanbietern, bei sensiblen Aktionen wie Fern-Resets zusätzliche Echtzeitprüfungen einzuführen. Messenger sollten zudem deutlichere Warnungen anzeigen oder Verzögerungen einbauen, wenn ein Desktopclient innerhalb kurzer Zeit ausführbare Dateien an viele Kontakte zu senden versucht.

So schützen Sie Ihre Google- und KakaoTalk-Konten

Die Kampagne beruhte auf gestohlenen Zugangsdaten, dauerhaft angemeldeten Desktop-Sitzungen und Funktionen, denen Nutzer üblicherweise vertrauen. Die folgenden Schritte senken das Risiko und erschweren den Missbrauch von Konten:

• Aktivieren Sie die Zwei-Faktor-Authentifizierung für Ihr Google-Konto. Verwenden Sie vorzugsweise Passkeys oder einen Sicherheitsschlüssel. Personen mit höherem Risiko, etwa Aktivisten und Journalisten, sollten sich für Googles erweiterten Schutz anmelden.
• Öffnen Sie die Einstellungen Ihres Google-Kontos und führen Sie den Sicherheitscheck durch. Entfernen Sie unbekannte Geräte und Sitzungen. Widerrufen Sie Drittanbieterzugriffe, die Sie nicht erkennen. Überprüfen Sie die hinterlegte Telefonnummer und E-Mail-Adresse zur Kontowiederherstellung.
• Prüfen Sie in Find Hub oder „Mein Gerät finden“, welche Geräte mit Ihrem Konto verknüpft sind. Stellen Sie sicher, dass Sie jedes Gerät kennen. Sichern Sie alle Geräte mit einer starken PIN und achten Sie darauf, dass ein Fern-Reset eine Authentifizierung erfordert.
• Überprüfen Sie die Sicherheit Ihres E-Mail-Kontos. Achten Sie in Gmail auf verdächtige Filter, Weiterleitungsregeln oder delegierte Zugriffe. Angreifer richten mitunter Regeln ein, um Warnmeldungen zu verbergen.
• Speichern Sie Passwörter nicht im Browser auf gemeinsam genutzten oder nicht verwalteten PCs. Nutzen Sie einen seriösen Passwortmanager, der mit einem Masterpasswort oder Sicherheitsschlüssel geschützt ist.
• Halten Sie Android, Windows, macOS und KakaoTalk auf dem neuesten Stand. Prüfen Sie in den KakaoTalk-Einstellungen, welche PCs bei Ihrem Konto angemeldet sind, und melden Sie sich auf allen unbekannten Geräten ab.
• Seien Sie bei unerwarteten Dateien oder App-Installationsprogrammen kritisch, auch wenn sie von vertrauten Kontakten stammen. Rufen Sie den Absender über einen anderen Kanal an, bevor Sie eine Datei öffnen.
• Erstellen Sie Offline-Back-ups wichtiger Fotos und Dokumente. Ein Reset wirkt sich nicht auf ein externes Back-up aus, das bei Nichtgebrauch getrennt aufbewahrt wird.
• Aktivieren Sie Anmeldebenachrichtigungen und lesen Sie diese aufmerksam. Klicken Sie bei einer verdächtigen Benachrichtigung nicht auf enthaltene Links. Öffnen Sie stattdessen in einer neuen Browsersitzung direkt die Kontoeinstellungen und überprüfen Sie die Aktivitäten.

Sofortmaßnahmen bei einem möglichen Angriff

• Ändern Sie auf einem sauberen Gerät, das Sie kontrollieren, Ihre Google- und KakaoTalk-Passwörter. Aktivieren Sie anschließend die Zwei-Faktor-Authentifizierung oder Passkeys.
• Öffnen Sie Ihr Google-Konto, prüfen Sie die letzten Sicherheitsereignisse und melden Sie sich von allen anderen Sitzungen ab. Widerrufen Sie unbekannte App-Tokens.
• Entfernen Sie in Gmail ungewöhnliche Filter oder Weiterleitungsregeln. Melden Sie in KakaoTalk alle PCs ab und autorisieren Sie nur die Geräte erneut, die Sie verwenden.
• Behandeln Sie ein zurückgesetztes Smartphone wie ein neues Gerät. Ändern Sie vor der Wiederherstellung Ihre Kontopasswörter und überprüfen Sie Ihre Wiederherstellungsinformationen. Stellen Sie Daten nur aus vertrauenswürdigen Back-ups wieder her.
• Warnen Sie Ihre Kontakte, dass Nachrichten von Ihnen möglicherweise schädlich waren. Bitten Sie sie, erhaltene Dateien nicht zu öffnen und Sicherheitsprüfungen durchzuführen.
• Sichern Sie nach Möglichkeit Beweise. Setzen Sie Ihren PC nicht zurück. Machen Sie Screenshots verdächtiger Aktivitäten in den Protokollen und wenden Sie sich anschließend an die örtliche Cybercrime-Einheit oder ein vertrauenswürdiges Sicherheitsteam.

Was Organisationen jetzt tun sollten

Organisationen mit Beschäftigten in Südkorea oder Verbindungen zu Tätigkeiten rund um Nordkorea sollten davon ausgehen, dass sie attraktive Ziele sind. Ein gezieltes Programm, das Identitätsschutz und Endgeräteüberwachung verbindet, senkt das Risiko und beschleunigt die Reaktion.

• Schreiben Sie für alle Google-Workspace- und Identitätsanbieter-Konten eine Multi-Faktor-Authentifizierung vor. Nutzen Sie phishingresistente Verfahren wie Passkeys oder Hardware-Sicherheitsschlüssel.
• Härten Sie Browser ab und deaktivieren Sie das automatische Speichern von Passwörtern in nicht verwalteten Umgebungen. Stellen Sie Beschäftigten einen Passwortmanager für Unternehmen bereit.
• Setzen Sie Endpoint Detection and Response mit verhaltensbasierten Regeln für AutoIt-Loader, den Missbrauch von MSI-Skripten und bekannte RAT-Familien wie Lilith RAT, Remcos RAT, Quasar RAT und RftRAT ein.
• Blockieren oder isolieren Sie ausführbare Anhänge und MSI-Installationsprogramme von externen Absendern, soweit möglich, am E-Mail- und Messenger-Gateway.
• Überwachen Sie Cloud-Auditprotokolle auf verdächtige Aktivitäten, darunter Fern-Resets und wiederholte Standortabfragen über Geräteverwaltungsdienste, die mit Nutzerkonten verknüpft sind.
• Führen Sie regelmäßig Phishing-Simulationen durch, die auf lokale Köder wie Mitteilungen von Steuerbehörden zugeschnitten sind. Schulen Sie Beschäftigte, die mit Überläufern und Aktivisten an sensiblen Themen arbeiten, unmittelbar und bedarfsgerecht.
• Erstellen Sie einen Ablaufplan für die schnelle Reaktion auf Kontoübernahmen, der Google-Konten, KakaoTalk-Desktopclients und das Zurücksetzen mobiler Geräte abdeckt. Üben Sie den Ablaufplan in Planspielen.
• Richten Sie einen Meldekanal für verdächtige Nachrichten und Dateien ein, die scheinbar von Beschäftigten stammen. Behandeln Sie solche Meldungen mit hoher Priorität.

Auf einen Blick

• Ermittler bringen eine neue Kampagne gegen Südkoreaner mit dem nordkoreanischen Konni-Cluster in Verbindung.
• Die Angreifer stahlen Google-Zugangsdaten, nutzten Find Hub, um Android-Geräte zu orten und auf Werkseinstellungen zurückzusetzen, und missbrauchten anschließend KakaoTalk-Desktopsitzungen, um Malware an Kontakte zu verbreiten.
• Zu den Fällen zählen ein Berater für nordkoreanische Überläufer unter Studierenden und eine Menschenrechtsaktivistin. In einem Vorfall wurden Malware-Nachrichten an mehr als 30 Kontakte, in einem anderen an 36 verschickt.
• Die Operation setzte Spear-Phishing mit gefälschten Mitteilungen des Nationalen Steuerdienstes, signierte MSI-Installationsprogramme, AutoIt-Skripte und Fernzugriffswerkzeuge wie Lilith RAT, Remcos RAT, Quasar RAT und RftRAT ein.
• Forschende bezeichnen den Fall als ersten bestätigten Einsatz kompromittierter Google-Konten durch einen mit Nordkorea verbundenen Akteur, um über Find Hub Geräte aus der Ferne zu steuern.
• Google zufolge wurden legitime Kontofunktionen und gestohlene Zugangsdaten missbraucht, nicht eine Schwachstelle in Android oder Find Hub. Das Unternehmen empfiehlt Zwei-Faktor-Authentifizierung oder Passkeys.
• Die südkoreanische Polizei ermittelt. Sicherheitsteams empfehlen stärkeren Identitätsschutz, eine bessere Absicherung von Geräten und die sorgfältige Prüfung von Dateien, die über Messenger eingehen.
• Nutzer mit hohem Risiko sollten sich für den erweiterten Schutz anmelden, die bei Google und KakaoTalk angemeldeten Geräte überprüfen und Offline-Back-ups aufbewahren, um Schäden durch Resets zu begrenzen.