Fünf Bedrohungsgruppen, die Korea ins Visier nehmen,
zusammengestellt aus öffentlichen Quellen
Hier steht nur, was auf den Gruppenseiten von MITRE ATT&CK, in Warnmeldungen von Behörden und in Berichten von Sicherheitsanbietern veröffentlicht wurde.
Für jede Gruppe beschreiben wir, welche Techniken sie bevorzugt, worauf Sie in Ihren eigenen Logs achten sollten und wie Sie prüfen, ob diese Techniken bei Ihnen tatsächlich abgewehrt werden.
Überblick
MITRE ATT&CK ordnet alle fünf Gruppen der nordkoreanischen Regierung zu.
Eine eigene Zuordnung (Attribution) hat Genox nicht vorgenommen, und auch die Vorfälle stammen ausschließlich aus öffentlichen Quellen.
| Gruppe | ATT&CK-ID | Hauptzweck | Ziele mit Bezug zu Korea laut öffentlichen Quellen | Wichtigste öffentliche Quelle |
|---|---|---|---|---|
| Lazarus Group | G0032 | Informationsbeschaffung, finanzieller Diebstahl, Zerstörung | Finanzsektor, Kryptowerte, Rüstung und Luftfahrt. MITRE nennt außerdem Verbindungen zu Operationen wie DarkSeoul und Ten Days of Rain | CISA AA22-108A |
| Kimsuky | G0094 | Informationsbeschaffung | Behörden, Thinktanks, Fachleute für Diplomatie, Sicherheit und Nordkorea, Medien | CISA AA20-301A, gemeinsame Warnmeldung Koreas und der USA (2023.6) |
| APT37 | G0067 | Informationsbeschaffung | Vor allem Korea. Watering-Hole-Angriffe über koreanische Websites | FireEye (2018), Volexity (2021) |
| Andariel | G0138 | Informationsbeschaffung, finanzieller Diebstahl | Behörden, Militär, koreanische Unternehmen, Rüstung, Luftfahrt, Kernenergie, Ingenieurwesen | CISA AA24-207A (gemeinsam mit dem koreanischen Nachrichtendienst NIS und der koreanischen Polizei) |
| APT38 | G0082 | Finanzieller Diebstahl | Banken, Kryptobörsen, Zahlungssysteme. Belege für eine gezielte Ausrichtung allein auf Korea gibt es nicht, koreanische Finanzinstitute gehören aber zur selben Zielgruppe | CISA AA20-239A |
Stand: 2026-11-07. An diesem Tag haben wir die Gruppenseiten von MITRE ATT&CK erneut geprüft. Mit jeder neuen ATT&CK-Version ändern sich Technik-Listen und Alias-Namen. Sehen Sie deshalb vor der Verwendung noch einmal im Original nach.
Lazarus Group
MITRE beschreibt die Gruppe als mit dem Reconnaissance General Bureau (RGB) verbunden und seit mindestens 2009 aktiv. MITRE weist auch darauf hin, dass nordkoreanische Einheiten Personal und Werkzeuge teilen und „Lazarus“ deshalb oft als Sammelname für nordkoreanische Aktivitäten insgesamt verwendet wird. Jeder Bericht fasst den Begriff anders. Schließen Sie also nicht allein aus dem Namen auf denselben Akteur.
Alias-Namen
Hauptziele
Finanzinstitute, Nutzer von Kryptowerten, Beschäftigte in Rüstung und Luftfahrt. Bei der Operation Dream Job 2019 bis 2020 ging die Gruppe mit gefälschten Jobangeboten und LinkedIn-Konten auf Beschäftigte der Rüstungs- und Luftfahrtbranche zu.
Initial Access
Typisch ist Spearphishing mit Stellenangeboten als Köder. CISA AA22-108A beschreibt, wie Systemadministratoren und DevOps-Verantwortlichen von Blockchain-Unternehmen hoch dotierte Stellen angeboten wurden, um sie zum Download einer als Krypto-Trading-App getarnten Schadsoftware (TraderTraitor) zu bringen. Eine Update-Funktion in der App lädt weitere Schadsoftware nach und führt sie aus.
Die gemeinsame Warnmeldung des britischen NCSC und des koreanischen Nachrichtendienstes NIS vom November 2023 behandelt einen Lieferkettenangriff, der über die Website eines Medienhauses eine Schwachstelle in der koreanischen Authentifizierungssoftware MagicLine4NX (CVE-2023-45797) ausnutzte. Die Warnmeldung spricht nur von einem mit Nordkorea verbundenen Akteur und nennt keine bestimmte Gruppe.
| Technik-ID | Technik | Taktik |
|---|---|---|
| T1566.001 | Spearphishing Attachment | Initial Access |
| T1566.002 | Spearphishing Link | Initial Access |
| T1059.001 | PowerShell | Execution |
| T1543.003 | Windows Service | Persistence |
| T1547.001 | Registry Run Keys / Startup Folder | Persistence |
| T1110.003 | Password Spraying | Credential Access |
| T1557.001 | LLMNR/NBT-NS Poisoning and SMB Relay | Credential Access |
| T1560.001 | Archive via Utility | Collection |
| T1041 | Exfiltration Over C2 Channel | Exfiltration |
| T1485 | Data Destruction | Impact |
Was Sie für die Erkennung prüfen sollten
- Ob direkt nach dem Start eines per Messenger oder E-Mail erhaltenen Archivs oder Installers PowerShell oder cmd erscheint. Die Eltern-Kind-Beziehung sehen Sie im EDR-Prozessbaum oder in Sysmon-Event 1 (Prozesserstellung).
- Neu registrierte Dienste (System-Log 7045) und Änderungen an Run-Keys (Sysmon 13). Bei Diensten, die außerhalb der Arbeitszeit entstehen, prüfen Sie Binärpfad und Signatur, auch wenn der Name harmlos klingt.
- Fehlgeschlagene Anmeldungen an vielen Konten von einer einzigen Quelle aus. Password Spraying wird erst sichtbar, wenn Sie die Windows-Sicherheitslogs 4625 und 4771 zusammen mit den Anmeldelogs Ihres Cloud-Identitätsdienstes betrachten.
- Endgeräte im Netz, die auf LLMNR (UDP 5355) oder NBT-NS (UDP 137) antworten. Wenn Sie diese Protokolle nicht brauchen, ist Abschalten per Gruppenrichtlinie zuverlässiger als jede Erkennung.
- Prozesse koreanischer Sicherheitssoftware für den Geschäftsalltag, etwa Zertifikats- oder Signatur-Agenten, die eine Shell starten oder unbekannte externe Adressen kontaktieren. Lieferkettenangriffe kommen über genau solche legitimen Programme herein.
Kimsuky
Eine Gruppe für Informationsbeschaffung, aktiv seit mindestens 2012. Anfangs zielte sie auf koreanische Behörden, Thinktanks und Fachleute verschiedener Bereiche, später auch auf die UN sowie auf Regierung, Bildung und Industrie in den USA, Japan, Russland und Europa. MITRE zitiert Quellen, die den Einbruch bei Korea Hydro & Nuclear Power im Jahr 2014 dieser Gruppe zuschreiben.
Alias-Namen
Hauptziele
Personen und Organisationen, die sich mit Außen- und Sicherheitspolitik auf der koreanischen Halbinsel, Nuklearpolitik und Sanktionen gegen Nordkorea befassen. Die gemeinsame Warnmeldung Koreas und der USA vom Juni 2023 beschreibt Fälle, in denen sich die Angreifer gegenüber Thinktanks, Hochschulen und Medien als Journalisten, Forschende oder Regierungsvertreter ausgaben.
Initial Access
In den veröffentlichten Fällen taucht immer wieder dasselbe Muster auf: Der erste Kontakt kommt ohne Schadsoftware, als Interview- oder Beratungsanfrage per E-Mail. Erst nach einer Antwort folgt eine weitere E-Mail mit HWP- oder Office-Dokumenten, gepackten LNK-Dateien oder einem Link zu einem Cloud-Speicher. Häufig sind auch Links zur Kontoübernahme, die Sicherheitswarnungen zur Anmeldung imitieren. Eine Warnmeldung des FBI und weiterer Behörden aus dem Jahr 2024 behandelt Fälle, in denen Domains mit lascher DMARC-Richtlinie für den Versand gefälschter E-Mails missbraucht wurden.
| Technik-ID | Technik | Taktik |
|---|---|---|
| T1566.001 | Spearphishing Attachment (HWP, Office, gepackte LNK) | Initial Access |
| T1566.002 | Spearphishing Link | Initial Access |
| T1204.002 | Malicious File | Execution |
| T1059.001 | PowerShell | Execution |
| T1218.005 | Mshta | Defense Evasion |
| T1547.001 | Registry Run Keys / Startup Folder | Persistence |
| T1053.005 | Scheduled Task | Persistence |
| T1003.001 | LSASS Memory | Credential Access |
| T1555.003 | Credentials from Web Browsers | Credential Access |
| T1102.002 | Bidirectional Communication | Command and Control |
Was Sie für die Erkennung prüfen sollten
- mshta.exe, das externe URLs aufruft oder unter explorer.exe über eine LNK-Datei gestartet wird. Auf normalen Arbeitsplatzrechnern wird mshta kaum gebraucht, schon eine Baseline filtert solche Fälle heraus.
- Ob Hancom Office Hangul (Hwp.exe) oder Office-Prozesse cmd, PowerShell oder wscript als Kindprozess starten.
- Mit Benutzerrechten angelegte geplante Aufgaben. Sehen Sie sich im Sicherheitslog 4698 oder im Betriebslog Microsoft-Windows-TaskScheduler den Aufgabennamen zusammen mit dem ausgeführten Befehl an.
- Prozesse, die keine Browser sind und trotzdem die Dateien Login Data oder Cookies von Chrome oder Edge lesen, sowie neu installierte Browsererweiterungen.
- E-Mails externer Absender, deren Anzeigename eine Person aus einer Behörde oder einen Journalisten nennt. Prüfen Sie außerdem, ob die DMARC-Richtlinie Ihrer eigenen Domain noch auf p=none steht.
- Die Kombination aus neu angelegtem lokalem Administratorkonto (4720, 4732) und aktiviertem Remotedesktop. Letzteres zeigt sich auch an einer Änderung des Registrierungswerts fDenyTSConnections.
APT37
Eine Gruppe für Informationsbeschaffung, aktiv seit mindestens 2012. MITRE nennt Korea als Hauptziel. Aktivitäten wurden auch aus Japan, Vietnam, Russland und dem Nahen Osten gemeldet. In mehreren Berichten taucht dasselbe Vorgehen auf: koreanische Websites werden kompromittiert, um deren Besucher anzugreifen.
Alias-Namen
Hauptziele
Laut der Beschreibung von MITRE ist Korea das wichtigste Zielland. Im unten genannten Fall von Volexity waren Leser einer auf Nordkorea spezialisierten Nachrichtenseite das Ziel. Operationen aus den Jahren 2016 bis 2018 wie Operation Daybreak, Erebus, Golden Time und FreeMilk werden mit dieser Gruppe in Verbindung gebracht.
Initial Access
Watering Holes, Verbreitung über Torrent-Seiten, Spearphishing mit HWP-Anhängen und das Ausnutzen von Schwachstellen in Browsern und Dokumentprogrammen. Volexity berichtete, dass 2021 auf der Website von Daily NK, einem auf Nordkorea spezialisierten Medium, Exploit-Code für Schwachstellen im Internet Explorer (CVE-2020-1380, CVE-2021-26411) platziert wurde und danach die Schadsoftware BLUELIGHT zum Einsatz kam, die über die Microsoft Graph API kommuniziert.
| Technik-ID | Technik | Taktik |
|---|---|---|
| T1189 | Drive-by Compromise (Watering Hole) | Initial Access |
| T1566.001 | Spearphishing Attachment | Initial Access |
| T1203 | Exploitation for Client Execution | Execution |
| T1059.005 | Visual Basic | Execution |
| T1547.001 | Registry Run Keys / Startup Folder | Persistence |
| T1548.002 | Bypass User Account Control | Privilege Escalation |
| T1055 | Process Injection | Defense Evasion |
| T1027.003 | Steganography | Defense Evasion |
| T1123 | Audio Capture | Collection |
| T1102.002 | Bidirectional Communication (Cloud-Dienste, soziale Netzwerke) | Command and Control |
Was Sie für die Erkennung prüfen sollten
- Browserprozesse, die ausführbare Dateien oder Skript-Engines als Kindprozess starten. Im Normalbetrieb kommt das fast nie vor, die Regel erzeugt daher wenige Fehlalarme.
- Noch verbliebene Nutzung des Internet-Explorer-Modus und von mshtml. Wenn Sie die Rechner mit IE-Modus aus Ihren Asset-Daten herausziehen, lassen sich Patch-Prioritäten leichter setzen.
- Ob Prozesse, die keine Browser sind, Cloud-APIs wie Dropbox, pCloud, Box, Yandex oder die Microsoft Graph API ansprechen. Aussagekräftig wird das erst, wenn Sie Proxy- oder DNS-Logs mit dem Prozessnamen verknüpfen.
- Das Muster, dass ein Prozess direkt nach dem Download einer Bilddatei einen ausführbaren Speicherbereich anlegt (per Steganographie versteckte Payload).
- Netzwerkverbindungen und neue ausführbare Dateien im Temp-Ordner nach dem Öffnen eines HWP-Dokuments.
Andariel
MITRE sieht Andariel als Untergruppe der Lazarus Group, die seit mindestens 2009 vor allem koreanische Behörden, das Militär und koreanische Unternehmen angreift. Neben zerstörerischen Angriffen gab es auch finanziell motivierte Aktivitäten gegen Geldautomaten, Banken und Kryptobörsen. CISA AA24-207A vom Juli 2024 ist eine gemeinsame Warnmeldung von Behörden aus den USA und Großbritannien zusammen mit dem koreanischen Nachrichtendienst NIS und der koreanischen Polizei.
Alias-Namen
Hauptziele
Laut AA24-207A sind Rüstung, Luft- und Raumfahrt, Kernenergie und Ingenieurwesen die primären Ziele, gefolgt von Gesundheitswesen und Energie. Dieselbe Warnmeldung hält fest, dass Erlöse aus Ransomware-Angriffen auf US-Gesundheitseinrichtungen zur Finanzierung der Spionage dienten.
Initial Access
Im Mittelpunkt stehen bekannte Schwachstellen in Servern, die aus dem Internet erreichbar sind, und das Platzieren von Webshells. Die Warnmeldung nennt unter anderem Log4j (CVE-2021-44228), Apache ActiveMQ (CVE-2023-46604) und TeamCity (CVE-2023-42793). Ebenfalls beschrieben ist Phishing mit LNK- oder HTA-Dateien in ZIP-Archiven.
| Technik-ID | Technik | Taktik |
|---|---|---|
| T1592.002 | Gather Victim Host Information: Software | Reconnaissance |
| T1190 | Exploit Public-Facing Application (AA24-207A) | Initial Access |
| T1189 | Drive-by Compromise | Initial Access |
| T1566.001 | Spearphishing Attachment | Initial Access |
| T1203 | Exploitation for Client Execution | Execution |
| T1505.003 | Web Shell (AA24-207A) | Persistence |
| T1027.003 | Steganography | Defense Evasion |
| T1049 | System Network Connections Discovery | Discovery |
| T1057 | Process Discovery | Discovery |
| T1105 | Ingress Tool Transfer | Command and Control |
Techniken ohne Vermerk stammen von der MITRE-Gruppenseite, Techniken mit Vermerk in Klammern aus der CISA-Warnmeldung.
Was Sie für die Erkennung prüfen sollten
- Ob Java-Serverprozesse wie Tomcat, ActiveMQ oder TeamCity cmd, PowerShell oder sh starten. Der Moment, in dem das Konto eines Webservers eine Shell ausführt, ist oft das früheste Signal.
- Neue oder geänderte jsp-, aspx- und php-Dateien im Web-Root. Ohne File Integrity Monitoring vergleichen Sie zunächst die Deployment-Historie mit den Änderungszeitpunkten der Dateien.
- Die in der Warnmeldung beschriebenen Befehlsmuster: Verbindungsliste per netstat abfragen, Dateien per curl in einen temporären Ordner laden, mit vssadmin eine Volume-Schattenkopie anlegen und danach NTDS.dit kopieren.
- Ausführung von Dual-Use-Werkzeugen wie Mimikatz, ProcDump, AdFind, Impacket oder PLINK. Fehlalarme gehen erst zurück, wenn Sie mit der Liste der Werkzeuge abgleichen, die Ihre Administratoren tatsächlich verwenden.
- Mit VMProtect oder Themida gepackte ausführbare Dateien, RDP-Bewegungen zwischen internen Servern und anschließend große Übertragungen in Cloud-Speicher oder per FTP nach außen.
APT38
Eine finanziell motivierte Gruppe mit Verbindung zum Reconnaissance General Bureau, die seit mindestens 2014 Banken, Finanzinstitute, Casinos, Kryptobörsen, SWIFT-Terminals und Geldautomaten in mindestens 38 Ländern angegriffen hat. Als bekanntester Fall gilt der Angriff auf die Zentralbank von Bangladesch im Jahr 2016. Die öffentlichen Quellen heben Korea nicht gesondert hervor. Wir führen die Gruppe trotzdem auf, weil koreanische Finanzinstitute und Anbieter von Kryptowerte-Diensten zur selben Zielgruppe gehören.
Alias-Namen
Hauptziele
Payment-Switch-Server und SWIFT-Terminals von Banken, Dienstleister für den Zahlungsverkehr zwischen Banken und Kryptobörsen. Auf der MITRE-Gruppenseite ist außerdem eine Kompromittierung der Software-Lieferkette über npm-Pakete aufgeführt.
Initial Access
CISA AA20-239A nennt Spearphishing mit als Bewerbungsunterlagen getarnten Anhängen, Watering Holes, Schwachstellen in Anwendungen mit Internetzugang, gestohlene legitime Konten, externe Geschäftspartner und externe Fernzugriffsdienste. Nach dem Eindringen kam die Schadsoftware FASTCash zum Einsatz, die auf dem Payment Switch ISO-8583-Autorisierungsnachrichten abfängt und Bargeldabhebungen an Geldautomaten freigibt.
| Technik-ID | Technik | Taktik |
|---|---|---|
| T1195.001 | Compromise Software Dependencies and Development Tools | Initial Access |
| T1566.001 | Spearphishing Attachment | Initial Access |
| T1189 | Drive-by Compromise | Initial Access |
| T1059.001 | PowerShell | Execution |
| T1543.003 | Windows Service | Persistence |
| T1553.005 | Mark-of-the-Web Bypass | Defense Evasion |
| T1070.006 | Timestomp | Defense Evasion |
| T1565.002 | Transmitted Data Manipulation | Impact |
| T1657 | Financial Theft | Impact |
| T1485 | Data Destruction | Impact |
Was Sie für die Erkennung prüfen sollten
- Neue Prozesse und Shared Libraries auf Payment-Switch-Servern (auch unter AIX und Linux). An solchen Servern ändert sich selten etwas, Allowlisting passt hier gut.
- Anmeldungen an SWIFT-Terminals und Zahlungsservern außerhalb der Geschäftszeiten sowie Admin-Sitzungen von ungewohnten Quellen.
- Ob in der Firewall-Richtlinie neue Ausnahmen für die Ports 443, 6443, 8443 oder 9443 auftauchen. Das Muster stammt aus AA20-239A und lässt sich direkt mit den Aufzeichnungen des Change Managements abgleichen.
- postinstall-Skripte, die während npm install auf Entwicklerrechnern oder Build-Servern nach außen verbinden oder eine Shell starten.
- Ausführung von Dateien aus Disk-Images wie ISO, IMG oder VHD (Umgehung von MotW) und das Löschen von Ereignisprotokollen (Sicherheitslog 1102).
Hinweise zum Lesen
Informationen über Gruppen sind ein guter Ausgangspunkt.
Wer sie unverändert in Erkennungsregeln übersetzt, übersieht aber einiges.
Namen und Abgrenzung der Gruppen unterscheiden sich je nach Anbieter
Auch MITRE vermerkt auf allen fünf Gruppenseiten sinngemäß, dass sich die Definitionen nordkoreanischer Gruppen stark überschneiden. Andariel wird als Untergruppe von Lazarus geführt, APT38 teils unter demselben Namen wie BlueNoroff. Wer sich an Techniken statt an Gruppennamen orientiert, kommt weniger durcheinander.
IoCs haben wir bewusst weggelassen
Hashes, IPs und Domains ändern sich schon nach wenigen Wochen. Bei Bedarf laden Sie die STIX-Dateien und YARA-Regeln direkt aus den oben genannten Warnmeldungen. Diese Seite konzentriert sich auf Verhaltensmuster, die länger gültig bleiben.
Die Technik-Listen sind eine Auswahl
Für jede Gruppe sind in ATT&CK Dutzende Techniken erfasst. Wir haben jeweils 6 bis 10 ausgewählt, damit der Ablauf von Initial Access bis Impact erkennbar wird. Die vollständige Liste können Sie auf der MITRE-Gruppenseite als ATT&CK-Navigator-Layer herunterladen.
Ohne Logs sind die Erkennungspunkte wertlos
Bei unseren Prüfungen stellen wir oft fest, dass Sysmon nur auf einem Teil der Server installiert ist oder dass PowerShell Script Block Logging (4104) abgeschaltet ist. Bevor Sie die Punkte oben durchgehen, prüfen Sie, ob die jeweiligen Logs überhaupt erfasst werden.
Wenn Sie wissen möchten, ob diese Techniken in Ihrer Umgebung abgewehrt werden
Bei der proaktiven Prüfung führen wir die Techniken dieser Gruppen im freigegebenen Umfang aus und fassen abgewehrt, erkannt und übersehen in einer ATT&CK-Karte zusammen. Das Abonnement für Bedrohungsinformationen finden Sie auf der Seite Threat Intelligence.
Quellen
Alle Quellen wurden am 2026-11-07 aufgerufen und geprüft.
- Lazarus Group, G0032, MITRE ATT&CK
- Kimsuky, G0094, MITRE ATT&CK
- APT37, G0067, MITRE ATT&CK
- Andariel, G0138, MITRE ATT&CK
- APT38, G0082, MITRE ATT&CK
- TraderTraitor: North Korean State-Sponsored APT Targets Blockchain Companies (AA22-108A), FBI · CISA · US-Finanzministerium, 2022.4
- UK and Republic of Korea issue warning about DPRK state-linked cyber actors attacking software supply chains, NCSC (Vereinigtes Königreich) · NIS (Korea), 2023.11
- North Korean Advanced Persistent Threat Focus: Kimsuky (AA20-301A), CISA · FBI · CNMF, 2020.10
- North Korea Using Social Engineering to Enable Hacking of Think Tanks, Academia, and Media, NIS · koreanische Polizei · koreanisches Außenministerium · FBI · US-Außenministerium · NSA, 2023.6
- North Korean Actors Exploit Weak DMARC Security Policies to Mask Spearphishing Efforts, FBI u. a., 2024.5
- APT37 (Reaper): The Overlooked North Korean Actor, FireEye, 2018
- North Korean APT InkySquid Infects Victims Using Browser Exploits, Volexity, 2021.8
- North Korea Cyber Group Conducts Global Espionage Campaign to Advance Regime's Military and Nuclear Programs (AA24-207A), FBI · CISA · NSA · NIS · koreanische Polizei u. a., 2024.7
- FASTCash 2.0: North Korea's BeagleBoyz Robbing Banks (AA20-239A), CISA · US-Finanzministerium · FBI · USCYBERCOM, 2020.8
- APT38: Un-usual Suspects, FireEye, 2018