Regierungsunterstützte Cyberkriminalität – Was ist die Lazarus-Gruppe?

Cyberkriminalität ist eine Plage. Schätzungen zufolge belief sich der kombinierte Schaden, den Cyberkriminalität weltweit an Systemen anrichten könnte, im Jahr 2021 auf bis zu 6 Billionen US‑Dollar. Und wenn diese Zahl bereits erschreckend wirkt, wird erwartet, dass sie bis 2025 auf 10,5 Billionen US‑Dollar ansteigt. Im Jahr 2015 lag sie bei 3 Billionen US‑Dollar. Ein Wachstum von mehr als 300 % innerhalb eines Jahrzehnts ist etwas, das uns alle beunruhigen sollte. Ja, Sie haben richtig gelesen!

Was ist Cyberkriminalität?

Cyberkriminalität ist ein Sammelbegriff, der zahlreiche Pläne und Aktivitäten umfasst, die darauf abzielen, Netzwerke und Systeme zu stören, zu beschädigen und zu schädigen. Es kann jede Art von bösartiger Aktivität sein, die einen Computer, ein Computernetzwerk oder ein vernetztes Gerät ins Visier nimmt. Dazu kann ein Malware‑Angriff gehören, bei dem der Angreifer ein System mit einem Virus infiziert.

Eine Phishing‑Kampagne nutzt Spam‑E‑Mails, Nachrichten oder andere Kommunikationsformen, um den Empfänger dazu zu verleiten, die Datensicherheit zu gefährden. Ein verteilter DoS‑Angriff, der häufig auf IoT‑Geräte abzielt, kann ein bestimmtes System oder Netzwerk lahmlegen.

Zu den Arten von Cyberkriminalität können auch Diebstahl von Finanzdaten, Karten‑ oder Zahlungsdaten, Cyber‑Erpressung, Cyber‑Spionage, Urheberrechtsverletzungen, illegales Glücksspiel, Ransomware‑Angriffe und mehr gehören.

Laut Daten des weltweit angesehenen Cybersicherheitsunternehmens Kaspersky kann ein einzelner Angriff – sei es ein Datenverstoß, Malware, Ransomware oder DDoS‑Attacke – ein Unternehmen, unabhängig von seiner Größe, im Durchschnitt 200.000 US‑Dollar kosten. Tatsächlich zeigen Daten des Versicherungsunternehmens Hiscox, dass betroffene Unternehmen innerhalb von sechs Monaten nach dem Angriff insolvent werden können.

Zweifellos ist Cyberkriminalität mit gravierenden und schweren Konsequenzen verbunden. Angreifer oder Hacker sind weltweit verbreitet und in der Lage, jedes System oder Netzwerk von einem beliebigen entfernten Standort aus anzugreifen.

Kriminalität wird jedoch normalerweise nicht mit staatlich unterstützten Behörden in Verbindung gebracht. Diese setzen Gesetze durch. Wir denken kaum an sie als Täter. Und Sie würden sicherlich überrascht sein, wenn wir an dieser Stelle den Fall von staatlich sanktionierter Cyberkriminalität ansprechen. Es ist jedoch nicht ungewöhnlich, Cyberkriminalität für politische Zwecke zu nutzen und über rein finanzielle Motive hinauszublicken. Im Folgenden diskutieren wir einen typischen Fall dieser Art, der eine staatliche Beteiligung an der Begehung von Cyberkriminalität behauptet.

Der rätselhafte Fall von Jon Chang Hyok und Kim Il

Die Website des Federal Bureau of Investigation führt zwei nordkoreanische Personen auf ihrer meistgesuchten Liste auf. Sowohl Jon Chang Hyok als auch Kim Il werden wegen Verschwörung zur Begehung von Draht- und Bankbetrug sowie computerbezogenem Betrug angeklagt. Beide sollen angeblich staatlich unterstützte Hacker gewesen sein, die Teil einer mutmaßlichen kriminellen Verschwörung waren, die zu einigen der teuersten Computereinbrüche der Geschichte führte. Doch es handelt sich nicht um gewöhnliche Beschuldigte. Sie sind keine Täter, die lediglich Geld plündern wollen. Ihre Motive gehen tiefer und sind undurchsichtiger, als man erwarten könnte.

Beide sollen Mitglieder einer Hackergruppe des nordkoreanischen Reconnaissance General Bureau sein. Die Verschwörung, an der sie beteiligt waren, umfasst nordkoreanische Hackergruppen, die von vielen Cybersicherheitsforscher*innen als Advanced Persistent Threat 38 (APT 38) oder „Lazarus Group“ bezeichnet werden.

Die Lazarus-Gruppe und ihre mutmaßlichen Vergehen

Die jüngste Erwähnung der „berüchtigten“ Lazarus-Gruppe erschien, als das FBI Ende Januar 2022 bestätigte, dass sie die Gruppe war, die den Harmony‑Bridge‑Hack im Juni 2022 im Wert von 100 Millionen US‑Dollar orchestrierte.

Am 23. Juni 2022 identifizierte das Harmony‑Protokollteam einen Diebstahl auf der Horizon‑Bridge in Höhe von etwa 100 Millionen US‑Dollar. In seiner Erklärung vom 23. Januar stellte das FBI eindeutig fest, dass die Lazarus‑Gruppe und APT 38, „Cyberakteure, die mit der DPRK verbunden sind“, für den Diebstahl von virtuellen Währungen im Wert von 100 Millionen US‑Dollar verantwortlich waren. Die Angreifer nutzten Sicherheitslücken in Harmony’s Horizon‑Ethereum‑Bridge aus und entwendeten mehrere über 11 Transaktionen im Bridge gespeicherte Vermögenswerte.

Vor dem Harmony‑Horizon‑Bridge‑Hack tauchte der Name der berüchtigten Lazarus‑Gruppe auch in den Berichten über den Ronin‑Bridge‑Hack im Wert von 600 Millionen US‑Dollar im März 2022 auf. Für diejenigen, die mit dem Ronin‑Bridge‑Hack nicht vertraut sind: Es war der größte Ausbruch virtueller Vermögenswerte im Jahr 2022. Die gehackten Mittel beliefen sich auf satte 612 Millionen US‑Dollar und umfassten 173.600 ETH sowie 25,5 Millionen USD‑Coins.

Axie Infinity, ein Play‑to‑Earn‑Non‑Fungible‑Token‑(NFT‑)Spiel, nutzte Ronin als Ethereum‑Sidechain. Bei der Erklärung der Art des Angriffs wiesen die Entwickler von Axie Infinity, Sky Mavis, darauf hin, dass Hacker Zugriff auf private Schlüssel erlangten, um Validatorknoten zu kompromittieren und Transaktionen betrügerisch zu genehmigen, um die Mittel aus der Bridge zu entwenden.

Das Office of Foreign Assets Control des US‑Finanzministeriums aktualisierte Mitte April 2022 seine Liste der speziell bezeichneten Staatsangehörigen und blockierten Personen (SDN), um die Möglichkeit zu suggerieren, dass die Lazarus‑Gruppe den Hack orchestriert hat. Die Hacker waren so raffiniert und geheimnisvoll in ihrem Vorgehen, dass der Vorfall erst mehrere Tage nach dem Hack entdeckt wurde, obwohl es sich um einen der größten Raubüberfälle dieser Art im Kryptobereich handelte.

Ähnlich war es beim Harmony‑Horizon‑Bridge‑Hack, bei dem die Lazarus‑Gruppe RAILGUN, ein Datenschutz‑Protokoll, nutzte, um über 60 Millionen US‑Dollar an während des Hacks gestohlenem Ethereum zu kanalisieren. Laut FBI‑Ermittlungen wurde ein Teil dieser Mittel in Zusammenarbeit mit einigen VASPs eingefroren, während die übrigen Bitcoin anschließend auf andere Adressen übertragen wurden.

Das FBI hat seine Einheiten für Cyber‑ und virtuelle Vermögenswerte zusammen mit der US‑Staatsanwaltschaft und der Krypto‑Abteilung des US‑Justizministeriums im Einsatz, um die Aktivitäten dieser nordkoreanischen Gruppe zu identifizieren, zu unterbinden und zu stören. Das Büro ist der Ansicht, dass der Diebstahl und das Waschen von virtuellen Währungen durch die Gruppe dazu dienen, Nordkoreas Programme für ballistische Raketen und Massenvernichtungswaffen zu unterstützen.

Gemeinsame Cyber‑Sicherheitswarnung veröffentlicht

Am 18. April 2022 veröffentlichten die Cybersecurity and Infrastructure Security Agency (CISA) gemeinsam mit dem FBI und dem US‑Finanzministerium eine Warnung zu den „von Nordkorea staatlich unterstützten Aktivitäten, die die Blockchain‑Technologie und die Kryptowährungsbranche ins Visier nehmen“.

Die Bedrohungen

Die Warnung stellt fest, dass die mit Krypto‑Diebstählen verbundene Cyber‑Bedrohung seit mindestens 2020 aktiv ist. Das Dokument erkennt zudem unmissverständlich an, dass diese Advanced Persistent Threat (APT)‑Bedrohung vom nordkoreanischen Staat gesponsert wird. Die Behörden bezeichneten die Gruppe als Lazarus‑Group, APT 38, BlueNoroff und Stardust Chollima.

Die Analyse der US‑Regierung zu dieser Bedrohung kennzeichnet diese bösartigen Cyberakteure als Akteure, die eine Vielzahl von Organisationen in der Blockchain‑ und Krypto‑Industrie ins Visier nehmen. Sie verschonen niemanden. Zu den Zielen gehören Krypto‑Börsen, DeFi‑Protokolle, P2E‑Kryptowährungs‑Videospiele, Krypto‑Handelsunternehmen, VC‑Fonds und einzelne Inhaber großer Mengen an Kryptowährungen oder wertvollen NFTs.

Die Lazarus‑Group und ähnliche Cyberakteure sind geschickt darin, Opfer über verschiedene Kommunikationsplattformen sozial zu manipulieren, um sie schließlich dazu zu verleiten, trojanisierte Krypto‑Anwendungen für Windows‑ und macOS‑Betriebssysteme herunterzuladen. Durch diese Anwendungen erhalten die Hacker Zugriff auf den Computer des Endnutzers und verbreiten Malware im gesamten Netzwerk.

Die Warnung wies darauf hin, dass die Lazarus‑Group für Angriffe auf eine Reihe von Unternehmen, Institutionen und Börsen in der Blockchain‑ und Krypto‑Industrie verantwortlich war. Ihre Methode bestand aus Spear‑Phishing‑Kampagnen und dem Einsatz von Malware zum Diebstahl.

AppleJeus‑Malware

Das FBI, die CISA und das DoT haben speziell die Verwendung der AppleJeus‑Malware bei den Angriffen der Lazarus‑Group auf Organisationen zum Krypto‑Diebstahl in mehr als 30 Ländern in den letzten Jahren erkannt. Der Agenturbericht stellte fest, dass Nordkorea die „AppleJeus‑Malware, die sich seit mindestens 2018 als Kryptowährungs‑Handelsplattformen ausgibt“, eingesetzt hat.

Die bösartige Anwendung scheint von einem legitimen Krypto‑Handelsunternehmen erzeugt zu werden. Die von der Malware gefangenen Personen glauben, es handele sich um eine Drittanbieter‑Anwendung von einer legalen Website, und laden sie herunter.

Die nordkoreanische Regierung hat vermutlich mehrere Versionen der Malware in den vergangenen fünf Jahren verwendet, seit sie 2018 entdeckt wurde.

Die Vorgehensweise

Die Cyberkriminellen beginnen ihre Operationen, indem sie eine große Anzahl von Phishing‑Kampagnen an Mitarbeitende von Krypto‑Unternehmen senden. Sie zielen hauptsächlich auf Personen, die in der Systemadministration oder in der Softwareentwicklung/IT‑Betrieb (DevOps) tätig sind.

Die von diesen Hackern gesendeten Nachrichten sind meist Rekrutierungsaufrufe, die hochbezahlte Stellen anbieten. Mit diesen Lockangeboten verleiten sie die Mitarbeitenden, mit Malware versehene Krypto‑Anwendungen herunterzuladen, die von der Regierung als TraderTraitor bezeichnet werden. Die TraderTraitor‑Kampagnen präsentieren Websites mit modernem Design und Werbung.

Während Jon Chang Hyok auf der meistgesuchten Liste des FBI aufgeführt wurde, vermerkte die Behörde ähnliche Vergehen in Verbindung mit seinem Namen und sagte, er sei angeblich direkt an der „Entwicklung und Verbreitung bösartiger Kryptowährungs‑Anwendungen, die zahlreiche Kryptowährungs‑Börsen und andere Unternehmen ins Visier nehmen“ beteiligt gewesen.

Für Kim Il beinhaltete das angebliche Verbrechen „cyber‑gestützte Raubüberfälle auf Finanzinstitute“ und den Marine‑Chain‑ICO‑Betrug.

Der Marine‑Chain‑ICO‑Betrug wurde von drei nordkoreanischen Geheimdienstoperativen gestartet. Es war ein bösartiger Schachzug, um während des Höhepunkts des ICO‑Booms 2018 betrügerisch Gelder zu sammeln, als fast 12 Milliarden US‑Dollar von Projekten aufgebracht wurden.

Marine Chain stellte sich als der „next‑generation globale maritime Investment‑Marktplatz, ermöglicht durch Blockchain‑Technologie“ dar. Es wurde versprochen, dass Schiffseigner Teil‑Eigentumsanteile ihrer Schiffe tokenisieren und diese Bruchteils‑Eigentums‑Coins an Einzelpersonen und Institutionen verkaufen könnten. Sie nannten dies Vessel Token Offerings, das auf der Ethereum‑Blockchain stattfinden sollte.

Kim Il und Jon Chang Hyok sowie Park Jin Hyok – alle aus Nordkorea – waren Gründer des Marine‑ICO. Sie verbargen die Tatsache, dass sie Mitglieder der nordkoreanischen Militärbehörde, dem Reconnaissance General Bureau (RGB), waren. Sie nutzten falsche Namen und leiteten jeden einzelnen Cent, der im ICO aufgebracht wurde, nach Nordkorea, um US‑Sanktionen zu umgehen. Das Trio wurde wegen versuchten Diebstahls in Höhe von 1,3 Milliarden US‑Dollar durch zahlreiche Erpressungspläne und Cyberangriffe beschuldigt.

Was wird geschehen?

Während US‑Ermittlungsbehörden regelmäßig Hacks und versuchte Erpressungen aufdecken und verfolgen, stehen sowohl Kim Il als auch Jon Chang Hyok weiterhin auf der meistgesuchten Liste des FBI. Haftbefehle wurden erlassen. Die CISA war jedoch in ihrer Mitteilung sicher, dass „diese Akteure wahrscheinlich weiterhin Schwachstellen von Kryptowährungstechnologie‑Unternehmen, Gaming‑Firmen und Börsen ausnutzen werden, um Mittel zu generieren und zu waschen, die das nordkoreanische Regime unterstützen“.