North Korean Hackers Pivot to KI-unterstützter Spionage (AI-Assisted) in New Campaign Targeting Blockchain Developers

In einer bedeutenden Weiterentwicklung ihrer Cyber-Fähigkeiten wurde die nordkoreanische Bedrohungsgruppe, bekannt als Konni, dabei beobachtet, wie sie KI-generierte Malware zur gezielten Attacke auf Blockchain-Entwickler in der Asien-Pazifik-Region einsetzt. Diese jüngste Kampagne, die Sicherheitsforscher Ende Januar 2026 identifizierten, markiert eine beunruhigende Verschmelzung von staatlich geförderter Spionage und künstlicher Intelligenz. Sie senkt die Hürde für die Erstellung anspruchsvoller Skripte und erweitert den Fokus der Gruppe über ihre traditionelle diplomatische Zielausrichtung hinaus.

Die Angriffe richteten sich gezielt gegen Engineering-Teams und Entwickler in Japan, Australien und Indien, was auf eine strategische Verlagerung hin zur Kompromittierung der fundamentalen Infrastruktur der Kryptowährungs- und Blockchain-Branche hindeutet.

The Evolution of Konni: From Diplomatic Targets to Crypto Code

Konni ist seit mindestens 2014 aktiv (auch bekannt als TA406 oder Opal Sleet) und konzentrierte sich historisch auf Nachrichtengewinnung im Einklang mit nordkoreanischen geopolitischen Interessen, wobei häufig diplomatisches Personal, NGOs und Regierungsbeamte in Südkorea ins Visier genommen wurden. Dieser jüngste Wechsel zum Blockchain-Sektor deutet jedoch auf ein Mandat mit doppeltem Zweck hin: Spionage in Kombination mit potenziellem finanziellen Gewinn, um Wirtschaftssanktionen zu umgehen.

Der primäre Vektor dieser Kampagne sind ausgefeilte Spear-Phishing-Aktionen. Anders als generischer Spam nutzen diese Angriffe hochwertige Köder, die über Discord verschickt werden und sich als legitime Stellenausschreibungen oder technische Projektanforderungen tarnen. Die Veränderung der Zielmethode — von Regierungsvertretern hin zu Softwareingenieuren — zeigt die Anpassungsfähigkeit der Gruppe und die Absicht, die „Builder“ der digitalen Ökonomie zu kompromittieren.

AI as a Weapon: Deconstructing the PowerShell Backdoor

Der alarmierendste Aspekt dieser Kampagne ist die technische Zusammensetzung der Malware selbst. Sicherheitsanalysten bei Check Point Research haben bestätigt, dass die in diesen Angriffen eingesetzte PowerShell-Backdoor unverkennbare Merkmale von KI-Generierung aufweist.

Traditionell enthält von Menschen verfasste Malware deutliche Eigenheiten, Codestile oder sogar Fehler, die bei der Attribution helfen. Die aus diesen Angriffen geborgene Nutzlast weist jedoch eine makellose Struktur, grammatikalisch perfekte Kommentare und generische Anleitungstexte auf, wie sie typisch für Große Sprachmodelle (LLMs) sind.

Signs of Machine-Generated Malice

Das Skript enthält Kommentare wie # <– your permanent project UUID, eine Art von Anleitung, die Sprachmodelle häufig ausgeben, wenn sie gebeten werden, Vorlagen-Code zu erzeugen. Diese Standardisierung dient einem taktischen Zweck: Sie fungiert als eine Form der „weichen Verschleierung“ und entfernt die einzigartigen stilistischen Fingerabdrücke, die menschliche Autoren normalerweise hinterlassen, wodurch die Attribution erschwert wird.

Die Fähigkeiten der Malware sind umfangreich und ermöglichen den Angreifern:

• Ausführung beliebiger Befehle über eine entfernte Shell.
• Sammlung von Systeminformationen (OS-Version, IP-Adresse, Hardware-Spezifikationen).
• Hoch- und Herunterladen von Dateien auf den infizierten Host.
• Aufrechterhaltung der Persistenz durch geplante Tasks, die legitime Systemprozesse wie OneDrive nachahmen.

The Infection Chain: A Multi-Stage Labyrinth

Der Lebenszyklus des Angriffs ist so gestaltet, dass er durch einen komplexen, mehrstufigen Ladeprozess der Erkennung entgeht. Er beginnt, wenn ein Ziel mit einem bösartigen Link interagiert, der über Discord gesendet wurde und ein ZIP-Archiv herunterlädt, das ein Köder-PDF und eine weaponisierte Windows-Verknüpfungsdatei (LNK) enthält.

Technical Breakdown of the Attack Flow

Diese „Living off the Land“‑Technik (LotL) — die Nutzung nativer Windows-Tools wie PowerShell, Batch-Skripten und geplanten Tasks — erlaubt es den Angreifern, sich in normalen administrativen Aktivitäten zu tarnen, wodurch die Erkennung durch traditionelle Antivirus-Lösungen erschwert wird.

Targeting the Builders: Why Blockchain Developers?

Die Fokussierung auf Entwickler ist strategisch. Durch die Kompromittierung einer Entwickler-Workstation erhält Konni Zugang nicht nur zu einer einzelnen Maschine, sondern möglicherweise zu gesamten Code-Repositories, API-Schlüsseln und Cloud-Infrastruktur-Zugangsdaten. Im Blockchain-Kontext ist dieser Upstream-Zugang katastrophal. Er kann es Angreifern ermöglichen, bösartigen Code in dezentrale Anwendungen (dApps) einzuschleusen, private Signierschlüssel zu stehlen oder Liquidität aus Smart Contracts abzugreifen, noch bevor diese bereitgestellt werden.

Dieser Ansatz entlang der Lieferkette maximiert die Auswirkungen eines einzelnen erfolgreichen Einbruchs. Die verwendeten Köder — Dokumente, die Trading-Bots, Authentifizierungssysteme und Release-Roadmaps beschreiben — sind gezielt darauf zugeschnitten, die technische Neugier und die beruflichen Verantwortlichkeiten dieser Ingenieure anzusprechen.

A New Era of Automated Cyber Warfare

Der Einsatz von KI durch Konni stellt einen Wendepunkt in der Bedrohungsinformationen dar. Er bestätigt die lange gehegte Sorge, dass staatliche Akteure generative KI (generative AI) zur Beschleunigung der Malware-Entwicklung nutzen würden. Für Gruppen wie Konni bieten KI-Tools zwei wesentliche Vorteile:

1. Geschwindigkeit: Schnelle Iteration von Malware-Varianten, um Sicherheits-Patches zuvorzukommen.
2. Tarnung: Erzeugung von „sauberem“ Code, der wie legitime administrative Skripte aussieht und damit die Wahrscheinlichkeit verringert, heuristische Erkennungsmechanismen auszulösen.

Diese Entwicklung erzwingt eine Neukalibrierung der Verteidigungsstrategien. Sicherheitsteams können sich nicht mehr ausschließlich auf signaturbasierte Erkennung oder das Aufspüren von „schlampigem“ Code verlassen, wie er bei bestimmten Bedrohungsakteuren typisch ist. Der Gegner hat nun einen Copiloten, der perfekten, standardisierten Code schreibt.

Mitigation Strategies for Development Teams

Um sich gegen diese durch KI verstärkte Bedrohungslandschaft zu verteidigen, müssen Organisationen — insbesondere in den Web3- und Blockchain-Sektoren — eine Defense-in-Depth-Strategie einführen:

• Skriptausführung einschränken: Durchsetzen strenger PowerShell-Ausführungsrichtlinien (z. B. spezifische Signaturanforderungen), um die Ausführung nicht autorisierter Skripte zu verhindern.
• Entwicklungsumgebungen isolieren: Entwickler sollten in sandboxed Umgebungen oder virtuellen Maschinen arbeiten, die vom Unternehmensnetzwerk und von Produktionsschlüsseln getrennt sind.
• Discord‑Sicherheit: Behandle alle Dateien, die über Discord oder Community‑Kanäle empfangen werden, als nicht vertrauenswürdig. Automatische Downloads deaktivieren und alle Archive vor dem Öffnen scannen.
• Verhaltensüberwachung: Implementiere Endpoint Detection and Response (EDR)-Tools, die ungewöhnliche Prozessketten erkennen können, wie z. B. cmd.exe, das powershell.exe aus temporären Verzeichnissen startet.

Die Konni-Kampagne ist eine deutliche Erinnerung: Mit der Verbreitung von KI werden diese Werkzeuge weaponisiert. Die Verteidigungscommunity muss sich schneller weiterentwickeln als die Gegner, die jetzt mit Unterstützung künstlicher Intelligenz kodieren.