Nordkoreanische Hacker setzen erstmals KI-generierte Gesichtsbilder und gestohlene Webcam-Aufnahmen ein, um Videoanrufe zu fälschen. Die Kampagne zeigt, wie staatliche Angreifer künstliche Intelligenz als Waffe einsetzen.
KI-generierte Gesichter in echten Videoanrufen
Die nordkoreanische Hackergruppe BlueNoroff betreibt eine systematische Kampagne gegen Krypto-Unternehmen. Dabei nutzt sie ein neuartiges Mittel: künstliche Intelligenz. Wie Arctic Wolf in einer aktuellen Analyse berichtet, erstellt die Gruppe gefälschte Zoom-Meetings. Darin treffen Opfer auf KI-generierte Gesichtsbilder, die über echte Körperbewegungen zuvor gehackter Personen gelegt werden. Das Ergebnis wirkt täuschend echt.
Die Methode funktioniert wie eine Kettenreaktion. Zuerst übernimmt BlueNoroff den Telegram-Account einer Vertrauensperson aus dem Krypto-Umfeld. Von dort verschickt die Gruppe einen Calendly-Terminlink. Der Link führt auf eine nachgebaute Zoom-Oberfläche. Sobald das Opfer die Kamera freigibt, übertragen die Angreifer den Videostream an ihr Kontrollzentrum. Gleichzeitig scannen sie den Browser nach installierten Krypto-Wallets.
Jedes Opfer liefert Material für den nächsten Angriff
Besonders verstörend: Die gestohlene Webcam-Aufnahme wird sofort wiederverwendet. Arctic Wolf fand über 950 Dateien auf den Servern der Angreifer. Daraus entsteht ein sich selbst verstärkender Kreislauf. Jedes erfolgreiche Opfer liefert Videomaterial für den nächsten Angriff. OpenAIs GPT-4o erzeugt die Gesichtsbilder, die über die echten Bewegungen gelegt werden. Wer im Meeting mitmacht, sieht also eine Person, die er zu kennen glaubt. Diese bewegt sich natürlich, weil die Körperbewegungen echt sind.
JUMPSEC dokumentierte die Phishing-Kits im Detail. Die Angreifer operieren über 80 getyposquatte Zoom- und Teams-Domänen. Das Kit prüft vor der Malware-Installation, welche Krypto-Wallets installiert sind. Nur lohnende Ziele bekommen die Schadsoftware. CEOs und Gründer machen 45 Prozent der Zielgruppe aus.
Volle Kontrolle in unter fünf Minuten
Die Arctic-Wolf-Analyse zeigt die erschreckende Geschwindigkeit. Vom ersten Klick bis zur vollständigen Systemkompromittierung vergehen weniger als fünf Minuten. Bei einem nordamerikanischen Krypto-Unternehmen blieben die Angreifer 66 Tage im System unbemerkt. Die Malware nutzt fileless PowerShell-Techniken und deaktiviert Microsoft Defender. Auf macOS installiert sie eine maßgeschneiderte Schadsoftware.
Die zeitliche Analyse der Angreifer-Infrastruktur bestätigt den staatlichen Hintergrund. Die Aktivitäten konzentrieren sich auf nordkoreanische Geschäftszeiten mit minimaler Weekend-Aktivität. Das deutet auf reguläre Arbeitszeiten hin, nicht auf frei operierende Kriminelle.
Globale Reichweite über 20 Länder
Die Kampagne ist nicht regional begrenzt. Arctic Wolf identifizierte über 100 zusätzliche Ziele auf den Servern der Angreifer. Die Opfer verteilen sich auf mehr als 20 Länder. Mit 41 Prozent befindet sich die Mehrheit in den USA, gefolgt von Singapur mit 11 Prozent und Großbritannien mit 7 Prozent. Etwa 80 Prozent der Ziele arbeiten im Krypto-Bereich oder angrenzenden Finanzsektoren.
Was das für die KI-Sicherheit bedeutet
Dieser Fall markiert einen Wendepunkt in der KI-Sicherheitsdebatte. Bisher standen Halluzinationen und Bias im Fokus. Jetzt zeigt sich: KI wird zur Waffe in den Händen staatlicher Akteure. Die Kombination aus KI-generierten Gesichtern und gestohlener Videobewegung überwindet herkömmliche Authentifizierung. Wer einem Videoanruf vertraut, kann nicht mehr sicher sein, dass die Person am anderen Ende echt ist.
Für Unternehmen bedeutet das: Videoanrufe allein reichen nicht mehr als Verifizierung. Zweifaktor-Authentifizierung über unabhängige Kanäle wird zur Pflicht. Zudem sollten Krypto-Wallets niemals im selben Browser laufen wie Links aus untrusteten Quellen. Die Kampagne von BlueNoroff zeigt, dass KI-Angriffe keine Theorie mehr sind. Sie laufen bereits.
