Die aktivsten staatlich unterstützten Hacker-Einheiten Nordkoreas verlassen sich nicht mehr auf einfache Phishing-E-Mails und Brute-Force-Einbrüche. Laut mehreren Cybersicherheitsunternehmen und Regierungsbehörden haben mit Pjöngjang verbundene Gruppen begonnen, maßgeschneiderte Offensivwerkzeuge mit generativer KI zu entwickeln, und der Anstieg der nordkoreanischen KI-Cyberangriffe hinterlässt bereits Spuren in realen Vorfällen in Südkorea und im globalen Technologiesektor.
Summary
Wichtigste Erkenntnisse
- Kimsuky, APT45 und Famous Chollima wurden alle dabei dokumentiert, wie sie generative KI-Modelle, darunter ChatGPT und Googles Gemini, zur Unterstützung von Hackeroperationen einsetzen.
- Kaspersky stellte fest, dass Kimsuky KI nutzte, um eine Malware namens HelloDoor zu entwickeln, erkennbar an mit Emojis gefüllten Code-Kommentaren und maschinenartigen Grammatikfehlern.
- Famous Chollima wurde laut CrowdStrike mit 47 % aller staatlich unterstützten Hackerangriffe auf den Technologiesektor zwischen April 2025 und Mai 2026 in Verbindung gebracht.
- Das Nationale Cybersicherheitszentrum Südkoreas warnte im Juni 2026 vor dem Aufkommen von „agentischer KI“, die in der Lage ist, autonome Angriffe zu starten.
Nordkoreanische Hacker setzen generative KI für Cyberangriffe ein
Generative KI ist stillschweigend Teil des Standardwerkzeugsatzes des nordkoreanischen Hackerapparats geworden. Cybersicherheitsforscher sagen, dass insbesondere Kimsuky und APT45 beim Einsatz großer Sprachmodelle wie ChatGPT und Googles Gemini ertappt wurden – nicht als experimentelle Spielereien, sondern als funktionale Infrastruktur zum Erstellen von Malware, zum Durchführen von Social-Engineering-Kampagnen und zum Ausloten von Softwareschwachstellen in einem Tempo, mit dem kein menschliches Team mithalten könnte.
Diese Verschiebung ist bedeutsam, weil sie die Ökonomie staatlich unterstützter Hackerangriffe verändert. Aufgaben, für die früher Teams aus qualifizierten Entwicklern und Tage manueller Tests erforderlich waren, können nun automatisiert, komprimiert und mit deutlich weniger Beteiligten skaliert werden.
Maßgeschneiderte KI-gestützte Malware-Entwicklung
Kaspersky berichtete im Mai 2026, dass Kimsuky ein großes Sprachmodell nutzte, um bei der Entwicklung eines Malware-Stamms namens HelloDoor zu helfen. Der Code wies zwei verräterische Hinweise auf KI-Beteiligung auf: mit Emojis übersäte Kommentare und grammatikalische Muster, die eher zu maschinell erzeugtem Text als zum Schreibstil eines muttersprachlichen Entwicklers passten. Diese Eigenheiten gaben Forschern einen ungewöhnlichen, aber nützlichen Fingerabdruck, um KI-unterstützte Malware zu ihrem wahrscheinlichen Ursprung zurückzuverfolgen.
KI-gesteuertes Social Engineering und Phishing-Kampagnen
Kimsukys Einsatz von KI geht über das Schreiben von Code hinaus. Bereits im September 2025 soll die Gruppe ChatGPT genutzt haben, um gefälschte südkoreanische Militärausweise zu erstellen und diese dann in Phishing-Angriffen einzusetzen, bei denen Verteidigungsinstitutionen imitiert wurden. Das Ziel war einfach: Ziele dazu zu bringen, Zugangsdaten preiszugeben oder auf bösartige Links zu klicken, die als offizielle Mitteilungen getarnt waren.
Famous Chollima schlug beim Social Engineering einen anderen Weg ein. Laut einem CrowdStrike-Bericht nutzte die Gruppe KI-generierte Deepfakes und erfundene professionelle Profile, um sich auf legitime Tech-Jobs zu bewerben und so Insiderzugang zu erlangen, der später für Spionage- oder Diebstahlszwecke genutzt wurde, sobald sie in Zielunternehmen eingedrungen waren.
Spezifische KI-Techniken und Operationen nordkoreanischer Gruppen
Jede Gruppe scheint sich innerhalb des breiteren Vorstoßes zur Entwicklung von Kimsuky-KI-Malware und KI-gestützten Eindringversuchen auf ihre eigene Spezialität verlegt zu haben. Die Unterschiede in den Methoden zeigen, wie vielfältig die Anwendungen generativer KI innerhalb des nordkoreanischen Cyberapparats geworden sind.
Kimsukys HelloDoor-Malware mit KI-Signaturen
Der HelloDoor-Fall bleibt das klarste dokumentierte Beispiel für KI-unterstützte Malware-Erstellung, die Kimsuky zugeschrieben wird. Kasperskys Erkenntnisse deuten darauf hin, dass die Gruppe ein Sprachmodell für die tatsächliche Codegenerierung nutzte und nicht nur für Planung oder Dokumentation – ein Unterschied, der diesen Vorfall von früheren, eher oberflächlichen Einsätzen von KI-Chatbots für Recherche oder Übersetzung abhebt.
APT45s rekursives Prompting zur Analyse von Softwareschwachstellen
APT45 verfolgte eine deutlich andere Strategie. Google Threat Intelligence dokumentierte, wie die Gruppe Tausende sich wiederholender Eingaben an große Sprachmodelle schickte – eine Technik, die Forscher rekursives Prompting nennen. Der Ansatz war methodisch: bekannte Softwareschwachstellen analysieren und dann systematisch testen, ob vorhandener Exploit-Code tatsächlich gegen diese Schwachstellen funktionieren könnte. Genau diese Art von hochvolumigen, repetitiven Abfragen ist die Art von Aufgabe, bei der KI bei der Automatisierung besonders stark ist.
Umfassender Einsatz von KI durch Famous Chollima für Deepfakes und Identitätsfälschung
Die von Famous Chollima gesteuerten, Deepfake-basierten Infiltrationskampagnen lieferten die auffälligste Einzelstatistik in dieser Berichtsserie. CrowdStrike-Daten zeigen, dass die Operationen der Gruppe für 47 % aller staatlich unterstützten Hackerangriffe auf den Technologiesektor zwischen April 2025 und Mai 2026 verantwortlich waren und sie damit mit großem Abstand zum aktivsten Akteur in diesem Zeitraum machten. Diese Konzentration unterstreicht, warum gefälschte Identitäten und Infiltration über Bewerbungen zu einem so anhaltenden Problem für Personalverantwortliche und Sicherheitsteams in der Tech-Branche geworden sind.
Warnungen zur Cybersicherheit und strategische Auswirkungen KI-gestützter Angriffe
Die folgenreichste Entwicklung ist möglicherweise nicht ein einzelner Vorfall, sondern eine Warnung davor, wohin dieser Trend führt. Im Juni 2026 informierte das Nationale Cybersicherheitszentrum Südkoreas die Öffentlichkeit über das Aufkommen dessen, was es „agentische KI“ nannte – Systeme, die in der Lage sind, Cyberangriffe autonom auszuführen, ohne kontinuierliche menschliche Steuerung. Die Behörde warnte, dass solche Systeme theoretisch Zehntausende bösartiger Aktionen pro Sekunde ausführen könnten – ein Ausmaß, das durch manuelle Bedienung schlicht unerreichbar wäre.
Deshalb hat das Konzept von agentischen KI-Bedrohungen besondere Aufmerksamkeit von Cybersicherheitsforschern auf sich gezogen, die KI im weiteren Sinne als „Kraftmultiplikator“ für nordkoreanische Operationen beschreiben. Anstatt menschliche Hacker vollständig zu ersetzen, scheint KI bestehenden Teams zu ermöglichen, breitere Kampagnen mit deutlich weniger manueller Arbeit durchzuführen und so sowohl die Geschwindigkeit als auch die Reichweite staatlich unterstützter Hackerangriffe zu erhöhen, ohne dass das Personal proportional aufgestockt werden muss.
Jüngste Angriffe auf südkoreanische Regierungsinfrastruktur
Südkorea bleibt das Hauptziel, aus Gründen, die in den langjährigen geopolitischen Spannungen auf der Halbinsel verwurzelt sind. Kimsuky hat laut Sicherheitsforschern, die die Aktivitäten der Gruppe verfolgen, noch Mitte 2026 aktiv die südkoreanische Zertifizierungsinfrastruktur der Regierung ins Visier genommen, was zeigt, dass KI-gestützte Taktiken in nahezu Echtzeit gegen sensible staatliche Systeme eingesetzt werden und nicht nur in isolierten Einzelfällen.
Finanzielle und nachrichtendienstliche Motive hinter nordkoreanischen Cyberoperationen
Nordkoreanische Cyberoperationen waren nie ausschließlich auf Spionage ausgerichtet. Historisch waren sie ebenso gewinnorientiert wie nachrichtendienstlich motiviert, wobei die Lazarus-Gruppe mit einigen der größten bekannten Kryptowährungsraube in Verbindung gebracht wird. Die Ergänzung von KI-Fähigkeiten bei Gruppen, die bereits auf finanzielle Cyberkriminalität spezialisiert sind, wirft für die Branche eine unangenehme Frage auf: Wenn KI diesen Akteuren hilft, bessere Malware zu schreiben, überzeugendere Dokumente zu fälschen und glaubwürdigere Identitäten zu konstruieren, erhöht sie wahrscheinlich auch die Obergrenze dafür, wie viel sie stehlen können und wie schnell sie sich innerhalb eines Netzwerks bewegen können.
Diese Kombination aus Informationsbeschaffung und finanziellem Diebstahl, nun verstärkt durch KI-Werkzeuge, wird voraussichtlich weiterhin die Aufmerksamkeit sowohl südkoreanischer Regulierungsbehörden als auch internationaler Cybersicherheitsunternehmen auf sich ziehen, die die nächste Generation staatlich unterstützter Eindringtechniken verfolgen.
FAQ
Wie nutzen nordkoreanische Hackergruppen KI bei ihren Cyberangriffen?
Gruppen wie Kimsuky, APT45 und Famous Chollima nutzen generative KI, um Malware zu entwickeln, Softwareschwachstellen zu analysieren, Ausweise zu fälschen, Deepfakes zu erstellen und Teile ihrer Angriffskampagnen zu automatisieren.
Was ist „agentische KI“ und warum ist sie ein Problem?
Agentische KI bezeichnet Systeme, die in der Lage sind, Cyberangriffe mit hoher Geschwindigkeit autonom auszuführen, ohne kontinuierliche menschliche Kontrolle – eine Fähigkeit, vor der das Nationale Cybersicherheitszentrum Südkoreas warnte, da sie theoretisch Zehntausende bösartiger Aktionen pro Sekunde ermöglichen könnte.
Welche nordkoreanische Hackergruppe war am aktivsten bei Angriffen auf den Technologiesektor?
Famous Chollima war laut CrowdStrike-Daten zwischen April 2025 und Mai 2026 für 47 % der staatlich unterstützten Hackerangriffe auf den Technologiesektor verantwortlich.
Welche jüngsten Aktivitäten hat Kimsuky mit KI-Werkzeugen durchgeführt?
Kimsuky entwickelte die im Mai 2026 dokumentierte HelloDoor-Malware, fälschte südkoreanische Militärausweise mithilfe von ChatGPT für Phishing bereits im September 2025 und griff noch Mitte 2026 die südkoreanische Zertifizierungsinfrastruktur der Regierung an.
{„@context“:“https://schema.org“,“@type“:“FAQPage“,“mainEntity“:[{„@type“:“Question“,“name“:“Wie nutzen nordkoreanische Hackergruppen KI bei ihren Cyberangriffen?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Gruppen wie Kimsuky, APT45 und Famous Chollima nutzen generative KI, um Malware zu entwickeln, Softwareschwachstellen zu analysieren, Ausweise zu fälschen, Deepfakes zu erstellen und Teile ihrer Angriffskampagnen zu automatisieren.“}},{„@type“:“Question“,“name“:“Was ist „agentische KI“ und warum ist sie ein Problem?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Agentische KI bezeichnet Systeme, die in der Lage sind, Cyberangriffe mit hoher Geschwindigkeit autonom auszuführen, ohne kontinuierliche menschliche Kontrolle – eine Fähigkeit, vor der das Nationale Cybersicherheitszentrum Südkoreas warnte, da sie theoretisch Zehntausende bösartiger Aktionen pro Sekunde ermöglichen könnte.“}},{„@type“:“Question“,“name“:“Welche nordkoreanische Hackergruppe war am aktivsten bei Angriffen auf den Technologiesektor?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Famous Chollima war laut CrowdStrike-Daten zwischen April 2025 und Mai 2026 für 47% der staatlich unterstützten Hackerangriffe auf den Technologiesektor verantwortlich.“}},{„@type“:“Question“,“name“:“Welche jüngsten Aktivitäten hat Kimsuky mit KI-Werkzeugen durchgeführt?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Kimsuky entwickelte die im Mai 2026 dokumentierte HelloDoor-Malware, fälschte südkoreanische Militärausweise mithilfe von ChatGPT für Phishing bereits im September 2025 und griff noch Mitte 2026 die südkoreanische Zertifizierungsinfrastruktur der Regierung an.“}}]}
Artikel mit Unterstützung künstlicher Intelligenz erstellt und von der Redaktion überprüft.
