Nordkoreanische Hacker: 500 Dollar monatlich für Stellvertreter-Interviews, dann Übernahme des Jobs

Original｜Odaily News（@OdailyChina）

Autor｜Wenser（@wenser 2010）

Erinnern Sie sich noch an den nordkoreanischen Hacker, der über Outsourcing in die MetaMask-Wallet gelangte?

Und an den nordkoreanischen Hacker, der von einem gefälschten DeFi-Unternehmen in eine Phishing-Falle gelockt und öffentlich enttarnt wurde?

Wie die Sicherheitsfirmen, die aktiv Phishing-Fallen stellen, verbessern auch die nordkoreanischen Hacker ihre „Angriffsmethoden“ – von anfänglichen technischen Schwachstellen über spätere Social-Engineering-Angriffe bis hin zu Outsourcing-Projekten und Remote-Einstiegen in Krypto-Projekte. Kürzlich haben sie eine neue Masche entwickelt: Sie heuern zunächst jemanden an, der das Vorstellungsgespräch bei einem Krypto-Unternehmen besteht, übernehmen dann selbst die Stelle, tauchen unter und warten auf eine Gelegenheit, um schließlich durch interne technische Angriffe Krypto-Vermögenswerte und sensible Informationen zu stehlen.

Einen Monat später gibt es neue Entwicklungen im Kampf zwischen Sicherheitsfirmen und nordkoreanischen Hackern, und eine neue Betrugsmasche ist aufgetaucht.

„Umweg zur Rettung“: Hacker lassen andere das Vorstellungsgespräch führen und übernehmen dann die Stelle – letztlich nur, um „dem Vaterland zu dienen“

Werfen wir zunächst einen Blick auf die „Erfolgsbilanz“ der nordkoreanischen Hacker: Laut Daten der Sicherheitsfirma CrowdStrike beliefen sich die durch nordkoreanische staatliche Hacker und Bedrohungsakteure verursachten Kryptowährungsverluste im Jahr 2025 auf über 2 Milliarden US-Dollar, ein Anstieg von 51 % gegenüber dem Vorjahr. Die südkoreanische Zentralbank schätzt, dass das Bruttoinlandsprodukt (BIP) Nordkoreas im Jahr 2025 trotz weltweiter gemeinsamer Sanktionen immer noch um 3,5 % gewachsen ist.

Es gilt als sicher, dass die nordkoreanischen Hacker als „Nationalmannschaft“ einen wichtigen Beitrag zum Wirtschaftswachstum geleistet haben.

Am 31. Juli dieses Jahres veröffentlichten das US-Außenministerium und das FBI gemeinsam mit elf Ländern – Japan, Südkorea, Australien, Kanada, Frankreich, Deutschland, Italien, den Niederlanden, Neuseeland und dem Vereinigten Königreich – einen Sicherheitsbericht mit dem Titel „Warnung vor nordkoreanischen IT-Arbeitern“.

Der Bericht enthält viele Informationen, darunter die folgenden Kernpunkte:

Erstens ist Nordkorea auf ein Netzwerk von im In- und Ausland eingesetzten Technologieentwicklern angewiesen, die mit falschen Identitäten ausgestattet werden, remote arbeiten und ihre Gehälter auf Konten nordkoreanischer Regierungsstellen überweisen. Die Gelder werden letztlich für die Entwicklung und den Ausbau des nordkoreanischen Atomwaffen- und Raketenprogramms verwendet.

Zweitens erhalten diese Technologieentwickler in der Regel Arbeit und entsprechende Gehälter, indem sie sich auf Online-Plattformen für Beschäftigung, Beschaffung und Auftragsvergabe ausgeben, die von privaten Unternehmen im Ausland betrieben werden, und dabei die Identität von Bürgern anderer Länder missbrauchen.

Drittens verdienen nordkoreanische Technikdienstleister nicht nur normale Angestelltengehälter, sondern stellen auch eine hohe Insider-Bedrohung für die Geschäftsinformationen und Vermögenswerte der Unternehmen dar, bei denen sie angestellt sind. Ein erheblicher Teil von ihnen nutzt diese Gelegenheit, um Daten, Kryptowährungen und sensible Informationen zu stehlen.

Viertens werden die Vorbereitungen und Vorgehensweisen der nordkoreanischen Hacker immer ausgefeilter; dazu gehört sogar der Einsatz von KI-Modellen und -Anwendungen, um falsche Identitäten zu erstellen und weltweit illegale Aktivitäten durchzuführen.

Erwähnenswert ist, dass die wichtigste Information in diesem Bericht darin besteht, dass die nordkoreanischen Hacker ihre „Arbeitsabläufe“ kürzlich über die bisherigen „persönlichen Vorstellungsgespräche“ hinaus weiterentwickelt haben –

• Heutzutage rekrutieren sie oft im Voraus über Jobportale wie LinkedIn technische Arbeitskräfte aus bestimmten Drittländern (z. B. Iran, Libanon);
• Anschließend verlangen die nordkoreanischen Hacker von einigen Technologieentwicklern, als „Interview-Assistenten“ in Teilzeit zu arbeiten, und zahlen ihnen monatlich 500 US-Dollar in Kryptowährung, damit sie ihnen helfen, eine Anstellung im Zielunternehmen zu bekommen.
• Schließlich übernehmen die nordkoreanischen Hacker selbst die Stelle und werden Teil des Teams im Zielunternehmen, um auf diese Weise technisch einzudringen, das Gehalt der entsprechenden Position zu kassieren und gleichzeitig sensible Informationen und Daten, Kryptowährungsvermögen sowie technischen Code und andere Geschäftsgeheimnisse zu stehlen.

Es besteht kein Zweifel daran, dass die nordkoreanischen Hacker im eskalierenden Sicherheitskrieg auch ihre eigenen „SOPs (Arbeitsabläufe)“ schrittweise verbessern, und ihr letztendliches Ziel ist natürlich, Gelder in ihr Heimatland zurückzuschleusen.

Selbstprüfungs-Checkliste zur Infiltration durch nordkoreanische Hacker: Von persönlichen Mitarbeiterdaten bis zu alltäglichen Ausdrucksgewohnheiten

Derzeit sind die Methoden der nordkoreanischen Hacker kaum zu verhindern, aber dennoch lassen sich Muster erkennen. Im Folgenden finden Sie einige Warnsignale, auf die Unternehmen achten und die sie selbst überprüfen sollten:

Unternehmen, die Online-Plattformen betreiben, sollten besonders auf folgende Punkte achten:

• Mitarbeiter ändern häufig ihre Registrierungsdaten (Kontoname, Kontaktdaten, Bankverbindung für Gehaltszahlungen usw.).
• Der Name auf dem Ausweisdokument des Mitarbeiters stimmt nicht mit dem Namen des registrierten Zahlungskontos überein.
• Mit demselben Ausweisdokument werden mehrere Zahlungskonten erstellt.
• Identitätsdokumente sind vermutlich gefälscht oder wurden mit Bildbearbeitungssoftware oder KI-Bildgeneratoren erstellt bzw. manipuliert.
• Mehrere technische Konten greifen von derselben IP-Adresse aus zu.
• Ein einzelnes Konto greift innerhalb kurzer Zeit von mehreren IP-Adressen aus zu.
• Konten bleiben ungewöhnlich lange angemeldet.
• Kumulierte Arbeitsstunden oder zugehörige Arbeitskennzahlen sind ungewöhnlich (z. B. übermäßig lange Online-Zeiten, zu hohe Arbeitseffizienz, zu großes Arbeitsvolumen).
• Nutzer von Jobportalen verfassen gefälschte Bewertungen über sich selbst, um ihre Bewertung auf der Arbeitsplattform zu verbessern usw.

Unternehmen, die Mitarbeiter einstellen, Vorstellungsgespräche führen oder externe Dienstleister beauftragen, können durch Beachtung folgender Details eine interne Infiltration durch nordkoreanische Hacker rechtzeitig verhindern:

• Im Profil des Bewerbers finden sich fehlerhafte oder unnatürliche Formulierungen (vermutlich maschinell übersetzt); er gibt an, die Landessprache seiner Identität nicht fließend zu beherrschen (angesichts der Verbreitung von KI-Übersetzungsdiensten sollte man verstärkt auf seine sprachlichen Ausdrucksweisen achten).
• In Videokonferenzen werden gefälschte Details sichtbar, z. B. stimmt das Foto nicht mit den Identitätsdaten überein; das Videobild der Konferenz ist KI-generiert oder wird von Dritten unterstützt, und Sprache und Gestik wirken unnatürlich.
• Der Bewerber weigert sich, an Videokonferenzen teilzunehmen oder sein Gesicht zu zeigen.
• Das angebotene Gehalt liegt unter dem üblichen Marktpreis.
• Es zeigt sich, dass sein technisches Konto von mehreren Personen bedient wird (dies deutet in der Regel darauf hin, dass solche Hackeraktivitäten oft im Team durchgeführt werden und der tatsächliche Gesprächspartner im Laufe der Zeit wechseln kann).
• Er verlangt die Zahlung der Vergütung in Kryptowährung und weigert sich, vollständige Bank- und Zahlungskontodaten anzugeben.