Inszenierung eines Scheinkrypto-Startups zur Anwerbung nordkoreanischer IT-Spezialisten
Die Cybersicherheitsforscher Mauro Eldritch und Heiner García führten über fünf Wochen eine gezielte Operation durch, bei der sie das fiktive Blockchain-Startup „Ballena Azul“ kreierten. Über Videokonferenzen auf Zoom kommunizierten sie mit mutmaßlichen nordkoreanischen IT-Ingenieuren, die glaubten, für ein echtes Gründungsprojekt rekrutiert zu werden. Die Ermittler nutzten dabei die britische Firmendatenbank, um die Authentizität durch die Registrierung einer echten Namensfirma zu verstärken. Eldritch agierte als angeblicher Mitgründer „Leonardo Nelson“, während García die Rolle des Teamleiters „Andy Jones“ innehatte.
Aufdeckung kritischer Server-Infrastruktur und technischer Details
Die Analyse deckte mehrere zentrale Server auf, die als Knotenpunkte fungierten, über welche die nordkoreanischen Experten auf virtuelle Arbeitsumgebungen zugriffen. Einige dieser Server waren bereits mit bekannten nordkoreanischen Malware-Familien wie InvisibleFerret und BeaverTail/OtterCookie verknüpft. Gleichzeitig entdeckten die Forscher bisher unbekannte Server, die auf eine Weiterentwicklung der Infrastruktur hinweisen. Die Systeme erfüllten verschiedene Funktionen: Verteilung von Schadsoftware, Kommando- und Kontroll-Nodes sowie Proxy-Relays.
Fachleute warnen, dass diese IT-Mitarbeiter ohne aktive Schadsoftware-Verbreitung ein erhebliches Risiko darstellen, da sie mittels legitimer Zugänge Unternehmensnetzwerke kompromittieren können. Mit langfristigem Zugriff sichern sie indirekt Einnahmen für das nordkoreanische Regime, indem sie Zugang zu Quellcodes und sensiblen Systemen nutzen.
Künstliche Intelligenz als neues Arbeitsmittel
Die mutmaßlichen nordkoreanischen Techniker nutzten intensiv KI-Technologien, insbesondere ChatGPT, um Programmieraufgaben zu erledigen und technische Fragen zu klären. Für Bildmanipulation und Dokumentenfälschungen kam Google Gemini zum Einsatz. Ergänzend verwendeten sie Remote-Desktop-Anwendungen, verschlüsselte Wallets sowie Dienste zur gemeinsamen Nutzung von Multi-Faktor-Authentifizierungscodes.
Spuren von Rekrutierung und Kontrolle durch fingierte Projekte
Die Kontaktaufnahme erfolgte zunächst über einen auf GitHub aktiven Rekrutierer mit Verbindungen zur nordkoreanischen Hackergruppe „Famous Chollima“. Im Lauf der Operation wurden Entwickler wie „Jack Anderson“, „Angelo Espree“ und „Lucas Theo“ in das Scheinprojekt integriert. Die Forscher ermöglichten über kontrollierte virtuelle Desktops die Zuweisung von Programmier- und Testaufgaben, etwa die Simulation von Netzwerkstörungen, um Reaktionen zu beobachten. Dabei konnten sie wertvolle Beweise sichern, darunter Chatlogs, VPN-Nutzungsdaten und Videomitschnitte.
Diese Vorgehensweise ähnelt anderen bekannten Fällen nordkoreanischer IT-Teams, deren Mitglieder etwa 2025 in den USA der Cyberdiebstähle von mehr als 90.000 US-Dollar an Kryptowährungen beschuldigt wurden. Solche Operationen sollen die Finanzierung von Nordkoreas Nuklear- und Massenvernichtungswaffenprogrammen unterstützen.
Auflösung der Tarnung und Ende der Untersuchung
Gegen Ende der Aktion inszenierte ein Undercover-Mitglied den Mitgründer „Benito Camella“, der die Echtheit der Entwickleridentitäten infrage stellte. Unter Druck brachen „Angelo Espree“ und später „Jack Anderson“ den Videochat ab. Öffentliche Dispute in einem Telegram-Kanal der fingierten Firma führten zur offiziellen Trennung von „Ballena Azul“ und zum Abbruch der Zusammenarbeit. Laut Angaben entschuldigte sich zumindest ein mutmaßlicher nordkoreanischer Teilnehmer persönlich bei García; weitere Kontakte blieben aus.
Bedeutung für die Branche und Sicherheitskommunität
Die Operation liefert erstmals einen detaillierten Einblick in die Arbeitsweisen, technischen Mittel und Infrastruktur nordkoreanischer IT-Remote-Teams. Auch ohne direkten Cyberangriff besteht durch Zugriffsrechte und Kontrolle über interne Systeme eine potenzielle Gefährdung für Blockchain- und Krypto-Handelsplattformen. Angesichts anhaltender Bedrohungen wird empfohlen, die Entwicklung solcher entfernten Arbeitsstrukturen wachsam zu beobachten und ihre möglichen Risiken im Finanz- und Technologiesektor stärker zu berücksichtigen.