Nordkoreanische Hacker nutzen KI-Deepfakes, um Zoom-Betrug durchzuführen, Kryptowährungsfirmen werden durch präzise „Social Engineering + Trojaner“ doppelt getroffen

11. Februar – Das Sicherheitsteam von Google, Mandiant, hat bekannt gegeben, dass eine mit Nordkorea in Verbindung stehende Hackergruppe Deepfake-Videos und gefälschte Zoom-Anrufe nutzt, um hochgradig maßgeschneiderte Social-Engineering-Angriffe auf die Kryptowährungsbranche durchzuführen und durch die Implantation verschiedener Schadsoftware Vermögenswerte und Daten zu stehlen.

Die Ermittlungen zeigen, dass diese Operation vom Cyber-Bedrohungsorganismus UNC1069 initiiert wurde. Die Gruppe ist mindestens seit 2018 aktiv und hat ihr Ziel nach 2023 vom traditionellen Finanzsektor auf den Web3-Bereich verlagert, darunter Führungskräfte im Krypto-Fintech, Softwareentwickler und Risikokapital-Experten. Der Vorfall begann, als das Telegram-Konto eines Branchenführers gehackt wurde. Die Angreifer nahmen Kontakt zu den Zielen in dessen Namen auf, bauten Vertrauen auf und schickten gefälschte Calendly-Videokonferenz-Einladungen.

Nach dem Klick auf den Link wurden die Opfer auf eine vom Angreifer kontrollierte gefälschte Zoom-Domain weitergeleitet. Während des Gesprächs zeigte der Angreifer ein Deepfake-Video, das angeblich den CEO eines anderen Krypto-Unternehmens darstellte, und gab vor, aufgrund eines „Audiofehlers“ die Zielperson solle ein angebliches Troubleshooting-Kommando auf ihrem Computer ausführen. Diese Befehle lösten in macOS und Windows eine Infektionskette aus und installierten unbemerkt bis zu sieben Schadprogramme.

Mandiant bestätigt, dass diese Tools Anmeldeinformationen für Keychain, Browser-Cookies, Login-Daten, Telegram-Sitzungen und lokale sensible Dateien stehlen können. Die Forscher beurteilen, dass die Angreifer einerseits direkt auf Krypto-Assets zugreifen wollen, andererseits auch Informationen sammeln, um zukünftige Betrugsmaschen vorzubereiten. Der Einsatz so vieler Tools auf einem einzelnen Gerät deutet auf eine sorgfältig geplante gezielte Infiltration hin.

Dieses Ereignis ist kein Einzelfall. Bereits 2025 verursachten ähnliche KI-basierte Meeting-Betrügereien Verluste von über 300 Millionen US-Dollar; im gesamten Jahr wurden durch nordkorea-bezogene Cyber-Aktivitäten rund 2,02 Milliarden US-Dollar an digitalen Vermögenswerten gestohlen, was einem Anstieg von 51 % entspricht. Chainalysis weist zudem darauf hin, dass Betrügergruppen, die KI-Dienste auf der Blockchain nutzen, deutlich effizienter sind als herkömmliche Methoden.

Mit der kontinuierlichen Senkung der Barrieren für Deepfake-Technologien steht die Krypto-Branche vor beispiellosen Sicherheitsherausforderungen. Experten warnen, dass Online-Meetings, bei denen Gelder und Systemzugriffe involviert sind, durch Mehrfach-Authentifizierung und Geräteisolation verstärkt geschützt werden müssen, um nicht zur nächsten Angriffsfläche zu werden.