Ein griechischer Sicherheitsforscher hat offenbar 22 Monate lang unbemerkt nordkoreanische Hacking-Server überwacht. Er veröffentlichte nun eine Liste mit 1.640 betroffenen Organisationen in 57 Ländern.
Vangelis Stykas ist Chief Technology Officer beim Sicherheitsunternehmen Kumio. Diese Ergebnisse präsentierte er in dieser Woche auf der Black Hat in Las Vegas.
Wie die Jäger zu Gejagten wurden
Stykas hat die gewohnten Abläufe umgekehrt. Er verschaffte sich Zugang zu den Command-and-Control-Servern, welche die Hacker-Gruppen für ihre Malware nutzten.
Gesponsert
Gesponsert
Teilweise gelangte er sogar auf deren persönliche Computer. Die Hacker hatten diese Rechner zuvor selbst infiziert.
Danach blieb er einfach dort. Fast zwei Jahre lang beobachtete er die Hacker bei der Arbeit und notierte jedes neue Opfer, das auftauchte.
Er kopierte etwa fünf Terabyte an Daten. Diese beinhalteten Entwickler-Schlüssel, privaten Quellcode sowie Nachrichten der Hacker-Gruppen bei Slack und Discord.
Dank dieses Zugangs sind die Zahlen präzise. Die meisten Bedrohungsberichte schätzen die Anzahl der Opfer von außen.
Hier erfolgte die Zählung mit Hilfe der Angreiferdateien selbst. Von den 1.640 Organisationen stuft Stykas 700 bis 800 als ernsthaft kompromittiert ein.
Folgen Sie uns auf X, um aktuelle Nachrichten sofort zu erhalten
In diesen Fällen hatten die Hackergruppen Rootzugriff auf Server, Root-Berechtigungen für Amazon Web Services (AWS) oder besaßen Schlüssel für Kryptowährungs-Wallets.
Gesponsert
Gesponsert
Ein Jobangebot war der einzige benötigte Exploit
Es war keine Software-Schwachstelle nötig. Ein Jobangebot reichte aus.
Entwickler wurden mit attraktiven Stellen und hoher Bezahlung angesprochen. Dann sollten sie einen Programmier-Test zu Hause durchführen. Während des Tests installierte sich die Malware.
Forschende von Palo Alto Networks nannten dieses Muster „Contagious Interview bereits im November 2023. Seither haben fünf Sicherheitsunternehmen dieselbe Gruppe unter sechs verschiedenen Namen beobachtet.
Microsoft veröffentlichte im März 2026 eine eigene Analyse. Hier wurde die Spur bis zu gefälschten Code-Paketen auf GitHub, GitLab und Bitbucket zurückverfolgt.
Wird eines davon in Visual Studio Code geöffnet, erscheint eine Sicherheitsabfrage. Bestätigt der Nutzer diese, führt der Editor den Code der Angreifer aus.
„Indem gezielt Malware direkt in Tools für Bewerbungsgespräche, Programmieraufgaben und Assessments eingebettet wird, nutzen Angreifer das Vertrauen, das Entwickler in den Einstellungsprozess haben, heißt es in einem Sicherheitsausschnitt aus dem Microsoft Security Blog im März.
Die Backdoors suchen dann gezielt nach wenigen Dingen. Microsoft nennt API-Token, Cloud-Zugangsdaten, Signierschlüssel, Krypto-Wallets und Passwortmanager-Dateien.
Der Einstellungsprozess bleibt eine Schwachstelle. Consensys entdeckte einen verdeckten nordkoreanischen Entwickler im eigenen Team, einen Monat nach Beginn seiner Arbeit am MetaMask-Code.
Ein Auftragnehmer, dreißig Zugangsmöglichkeiten
Die Methode ist günstig, die Folgen sind jedoch enorm.
Stykas fand Auftragnehmer, die aktive Zugangsdaten für bis zu 30 Unternehmen hatten. Ein infizierter Laptop wurde damit zu 30 Eintrittspunkten.
Das Beispiel des Boston Childrens Hospital verdeutlicht dieses Muster. Stykas konnte die Gefährdung auf das private Gerät eines ehemaligen Auftragnehmers zurückführen.
Das Krankenhaus widerspricht dieser Darstellung. Es erklärt, die betreffenden Zugangsdaten innerhalb weniger Stunden entfernt zu haben und keinerlei Hinweise auf einen Einbruch in eigene Systeme gefunden zu haben.
Die Hacker-Gruppen agierten zudem wählerisch. Sie hätten Zugriff auf Gesundheitsdaten und Strafregister gehabt, ignorierten diese jedoch.
Stattdessen griffen sie auf Wallets und Blockchain-Zugänge zu. Coinbase und Uniswap Labs gehören zu den Organisationen, die nach seinem Hinweis reagierten.
Diese gezielte Vorgehensweise spiegelt sich in den Gesamtsummen wider. Gruppen mit Bezug zur Demokratischen Volksrepublik Korea (DVRK) stahlen gemäß Berichten im Jahr 2025 insgesamt 2,02 Milliarden USD in digitalen Vermögenswerten.
CrowdStrike vermerkt dabei einen Anstieg um 51% innerhalb eines Jahres. Außerdem beschreibt das Unternehmen eine Gruppe („GOLDEN CHOLLIMA), die mit gefälschten Stellenangeboten gezielt Cloud-Umgebungen von Fintech-Firmen angreift.
Das ist der Ablauf, den Stykas von innen beobachten konnte. Der menschliche Faktor bleibt entscheidend.
TRM Labs führte den Diebstahl von 285 Millionen USD bei Drift Protocol im April auf Treffen zwischen nordkoreanischen Mittelsmännern und Angestellten zurück.
Zwei Angriffe verursachten 76% der Verluste im Jahr 2026, obwohl sie nur 3% der gemeldeten Fälle ausmachten. Die bisherige Gesamtsumme für Pyongyang liegt seit 2017 nun bei mehr als 6 Milliarden USD.
Laut Stykas tauchen weiterhin neue Opfer in den Daten auf. Die meisten Organisationen, die er warnte, antworteten jedoch nicht, weshalb Gruppen wie Crypto ISAC mittlerweile DVRK-Bedrohungsinformationen bündeln.