Cybersicherheit
Die nordkoreanisch verbundene KONNI-Gruppe nutzte eine KI-gestützte PowerShell-Hintertür für Entwickler-Phishing
Check Point dokumentierte eine Kampagne mit Projektunterlagen als Köder und einer schädlichen Windows-Verknüpfung zur Installation einer Hintertür.
Kuva: Check Point Research. Alkuperäisen KONNI-tutkimuksen kuva hyökkäyskampanjassa käytetyistä houkutusasiakirjoista.
PROJEKTUNTERLAGEN ALS PHISHING-KÖDER
Check Point Research berichtete im Januar 2026 über eine Phishing-Kampagne der mit nordkoreanischen Cyberoperationen verbundenen Gruppe KONNI. Statt wie früher vor allem diplomatische Ziele anzugreifen, richtete sich die Gruppe offenbar auch gegen Softwareentwickler und Blockchain-Fachleute.
Der Köder bestand aus scheinbar gewöhnlichen Projektunterlagen samt Zeitplänen, technischen Beschreibungen und Budgets. Die Empfänger sollten ein Dateipaket öffnen, das eine schädliche Windows-Verknüpfung enthielt. Diese konnte PowerShell starten und schließlich eine Hintertür installieren.
WARUM BLOCKCHAIN-ENTWICKLER?
Entwickler können Zugriff auf Quellcode, Cloud-Infrastruktur, API-Zugangsdaten und Systeme für digitale Vermögenswerte haben. Diese Rechte sind für Angreifer wertvoll, selbst wenn nicht der einzelne Entwickler ihr eigentliches Endziel ist. Check Point beobachtete Proben mit Bezug zu Ländern außerhalb Koreas. Aus dem Herkunftsland hochgeladener Proben allein lässt sich aber keine große erfolgreiche Angriffskampagne gegen dortige Opfer ableiten.
HINWEISE AUF KI IM SCHADCODE
Die PowerShell-Hintertür enthielt ungewöhnlich klar strukturierte Komponenten und ausführliche erklärende Kommentare. Check Point wertete das als starke Hinweise auf KI-gestützte Codeentwicklung. Es handelt sich um eine technische Einschätzung, nicht um ein vollständiges Protokoll der KI-Unterhaltungen des Angreifers.
Die Hintertür sollte weitere Aktivitäten nach einem erfolgreichen Eindringen ermöglichen. Das Dateipaket war so aufgebaut, dass der eigentliche Auslöser der schädlichen Aktion möglichst verborgen blieb.
THE PROMPT ANALYSE
Die Täuschung der Menschen folgte einem altbekannten Muster: glaubwürdig wirkende Dokumente verleiten zum Öffnen einer Datei. KI könnte die Entwicklung der dahinterliegenden Schadsoftware beschleunigt haben. Unternehmen können Risiken durch die Prüfung von Dateiquellen, eingeschränkte Rechte, die Überwachung verdächtiger Skripte und getrennt verwaltete Entwicklungszugänge verringern.
Originalquelle: Check Point Research, 22. Januar 2026. https://research.checkpoint.com/2026/konni-targets-developers-with-ai-malware/