In der Zusammenfassung dieser Woche untersucht das CTI-Team von Tanium, wie nordkoreanische IT-Fachkräfte Berichten zufolge Deepfakes in Echtzeit einsetzen, um sich Zugang zu Unternehmen zu verschaffen. Als Nächstes untersucht das Team einen sogenannten „Initial Access Broker“ (IAB) namens ToyMaker. Abschließend geben wir einen Überblick darüber, wie verschiedene staatlich geförderte Gruppen die Social-Engineering-Taktik „ClickFix“ (wird in einem neuen Tab geöffnet) nutzen, um Malware zu verbreiten.
Angreifer nutzen Deepfakes in Echtzeit, um sich Zugriff zu verschaffen
Laut einem neuen Bericht aus Palo Alto mit dem Titel „ “ (wird in einem neuen Tab geöffnet) wird vermutet, dass nordkoreanische IT-Fachkräfte Deepfake-Technologie in Echtzeit einsetzen, um sich über Remote-Arbeitsstellen Zugang zu Unternehmen zu verschaffen (wird in einem neuen Tab geöffnet).
In jüngster Zeit sind mehrere Berichte erschienen, die sich mit der zunehmenden Nutzung von Echtzeit-Deepfakes durch Bewerber bei Vorstellungsgesprächen befassen: (wird in einem neuen Tab geöffnet). Insbesondere nordkoreanische Akteure haben „durchweg ein erhebliches Interesse an Techniken zur Identitätsmanipulation gezeigt“.
Erst vor zwei Jahren berichtete Palo Alto darüber, wie nordkoreanische Akteure mithilfe gestohlener personenbezogener Daten fiktive Identitäten erstellten. Diese nordkoreanischen IT-Fachkräfte haben ihre Taktiken, Techniken und Vorgehensweisen (TTPs) weiterentwickelt und setzen nun auch Deepfake-Technologie in Echtzeit ein. Dadurch kann ein einzelner IT-Mitarbeiter bei einem Vorstellungsgespräch für eine Stelle mehrere Deepfake-Identitäten nutzen und so verhindern, dass er identifiziert wird.
Wie einfach ist es, eine Deepfake-Identität zu erstellen?
Ein Forscher aus Palo Alto, der über keinerlei Erfahrung im Bereich der Bildbearbeitung verfügte und nur über begrenzte Kenntnisse im Bereich Deepfakes verfügte, beschloss, eine synthetische Identität für Vorstellungsgespräche zu erstellen. Mit einem fünf Jahre alten Computer erstellte das Team in nur 70 Minuten ein Profil und verdeutlichte damit, wie einfach es für Angreifer aller Qualifikationsstufen wäre, dasselbe zu tun.
Zu diesem Zweck verwendete die betreffende Person Einzelbilder, die von einer Website namens thispersonnotexist[.]org generiert wurden. Die Website „erlaubt die Nutzung der generierten Gesichter für private und gewerbliche Zwecke sowie die Nutzung kostenloser Tools für Deepfakes.“
Anhand dieser Bilder gelang es ihnen, mehrere Identitäten zu erstellen. Diese Person müsste lediglich ihre Kleidung und ihr Hintergrundbild ändern, um die verschiedenen Rollen wirklich voneinander abzugrenzen.
Sie versuchten es erneut, diesmal mit mehr Zeit, einer besseren GPU und einer höheren Auflösung bei genau demselben Verfahren, was zu noch überzeugenderen Ergebnissen führte.
So erkennen Sie Deepfakes in Echtzeit-Videos
Palo Alto wies auf einige Schwachstellen in Deepfake-Systemen hin, die Verteidiger nutzen können, um gefälschte Identitäten zu identifizieren, darunter:
- Schnelle Kopfbewegungen
- Ein schlecht konstruiertes Gesicht entsteht, wenn sich eine Hand oder ein anderer Gegenstand davor bewegt
- Plötzliche Veränderungen der Lichtverhältnisse
- Verzögerungen bei der Mundbewegung und der Sprache
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Forscher in Palo Alto versuchten, Deepfakes in Echtzeit ausschließlich mit frei verfügbaren Tools und kostengünstiger Hardware zu erstellen, um zu zeigen, wie einfach es für Akteure ist, glaubwürdige Identitäten zu erschaffen. Die wichtigste Erkenntnis ist, dass es überraschend einfach ist, falsche Identitäten zu erstellen.
Die ständige Weiterentwicklung dieser Bedrohung in Verbindung mit kontinuierlichen Verbesserungen bei KI (öffnet in einem neuen Tab) und Deepfake-Technologie macht es äußerst schwierig, Angriffe zu erkennen. Wie Palo Alto feststellt, ist eine enge Zusammenarbeit zwischen der Personalabteilung und der Sicherheitsabteilung von entscheidender Bedeutung, um diese sich ständig weiterentwickelnde Bedrohung zu erkennen und sich davor zu schützen.
Es ist wichtig, sich die von Palo Alto (wird in einem neuen Tab geöffnet) erstellten Videos im Bericht anzusehen, um vollständig zu verstehen, wie überzeugend diese Deepfakes sein können.
ToyMaker IAB arbeitet mit Doppel-Erpresserbanden zusammen
Cisco Talos hat unter (wird in einem neuen Tab geöffnet) Einzelheiten zu einem Initial-Access-Broker (IAB) namens „ToyMaker“ veröffentlicht. Dieser finanziell motivierte Akteur nimmt anfällige Systeme ins Visier, installiert eine maßgeschneiderte Hintertür namens LAGTOY und versucht, Zugangsdaten zu erlangen.
Cisco Talos stellte fest, dass ToyMaker diesen Zugriff an die „Cactus“-Ransomware-Bande weitergab, die auf doppelte Erpressung setzt.
Wie funktioniert ToyMaker?
Innerhalb einer Woche nach der ersten Kompromittierung führte ToyMaker Erkundungsmaßnahmen durch, gefolgt vom Diebstahl von Zugangsdaten und der Installation einer Hintertür. Darauf folgte eine Phase der Ruhe, bevor Cactus ins Spiel kam und sich mit den Zugangsdaten einloggte, die ToyMaker gestohlen hatte.
ToyMaker nutzt häufig bekannte Sicherheitslücken aus, um in ein Unternehmen einzudringen und mit der Erkundung zu beginnen. Nachdem der Angreifer einige grundlegende Befehle zur Erkundung ausgeführt hat, wird er einen SSH-Listener starten. Der Endpunkt kann dann eine Verbindung von einem anderen infizierten Host empfangen, wodurch eine Binärdatei mit dem Namen „sftp-server.exe“ erstellt wird – das SFTP-Servermodul von OpenSSH. Diese ausführbare Datei kann dann den Download der ausführbaren Datei „Magnet RAM Capture“ veranlassen.
Magnet RAM Capture ist ein kostenloses forensisches Tool, das häufig dazu verwendet wird, einen Speicherauszug vom Host zu erstellen. ToyMaker kann diese Informationen dann nutzen, um Anmeldedaten zu extrahieren. Der Angreifer wird anschließend sein eigenes, maßgeschneidertes Reverse-Shell-Implantat namens LAGTOY einsetzen, um eine dauerhafte Präsenz auf dem System zu etablieren.
Was ist die LAGTOY-Backdoor?
LAGTOY ist ein einfaches Implantat, das von ToyMaker verwendet wird und auch unter der Bezeichnung „HOLERUN“ erfasst wird.
Die Backdoor nimmt in regelmäßigen Abständen Kontakt zum C2 auf, um nach Befehlen zu suchen, die auf dem infizierten Gerät ausgeführt werden sollen. Es enthält Anti-Debugging-Prüfungen und ist so konzipiert, dass es als Dienst unter dem Namen „WmiPrvSV“ ausgeführt wird. Die IP-Adresse C2 und der Port der Malware sind beide fest programmiert. LAGTOY nutzt für seine Ausführung eine zeitbasierte Logik, die vermutlich einzigartig für diese Familie ist.
Cactus und ToyMaker
Nachdem Cactus von ToyMaker Zugriff erhalten hatte, begann das Programm, Netzwerkscans durchzuführen, Endpunkte zu erfassen und seine Spuren zu verwischen. Die von ToyMaker erlangten Zugangsdaten ermöglichten es Cactus, auf mehrere Systeme zuzugreifen und Dateien zu entwenden.
Dieser Akteur nutzte zudem mehrere Fernwartungstools für den Zugriff, richtete über OpenSSH Reverse-Shells ein, entzog den Zugriff auf die Datei mit dem privaten SSH-Schlüssel, legte neue Benutzerkonten an, führte Befehle zur Deaktivierung von Sicherheitstools aus und setzte mit Metasploit injizierte Binärdateien ein.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
IAB-Akteure werden mitunter übersehen, da sie keine komplexen Angriffsketten durchführen. Die Analyse und die Zeitleiste von Cisco Talos verdeutlichen die wichtige Rolle, die IABs in der Bedrohungslandschaft spielen, indem sie es anderen Akteuren erleichtern, ihre Pläne umzusetzen.
Dieses Beispiel verdeutlicht, wie wichtig Maßnahmen zur „ “ sind, wie beispielsweise das Schließen von Sicherheitslücken (öffnet in einem neuen Tab) sowie das Regelmäßige Ändern kompromittierter Zugangsdaten.
Staatlich geförderte Hacker nutzen die Social-Engineering-Taktik „ClickFix“
Laut Proofpoint (wird in einem neuen Tab geöffnet) nutzen mittlerweile mehrere staatlich geförderte Gruppen die Social-Engineering-Taktik „ClickFix“, um Malware zu verbreiten. Diese Technik dient diesen Akteuren dazu, „die Installations- und Ausführungsphasen in bestehenden Infektionsketten zu ersetzen“.
Weitere aktuelle ClickFix-Angriffe, über die Sie Bescheid wissen sollten:
- „Silk Typhoon“, gefälschte Lösegeldforderungen und ClickFix (wird in einem neuen Tab geöffnet)
- Vortax verbreitet Infostealer-Malware; Linux-Malware nutzt Emojis zur Ausführung von Befehlen (wird in einem neuen Tab geöffnet)
Proofpoint stellte fest, dass mehrere staatlich gestützte Akteure aus Nordkorea, dem Iran und Russland diese Technik zwischen Ende 2024 und Anfang 2025 einsetzten.
TA427 alias Kimsuky (Nordkorea)
Dieser nordkoreanische Angreifer, auch bekannt als „Kimsuky“, wurde im Januar von Proofpoint beobachtet und Februar 2025 , wobei er Organisationen im Think-Tank-Sektor ins Visier nahm. Bei diesen Angriffen kam eine Infektionskette zum Einsatz, die auf der „ClickFix“-Technik basierte, welche die Gruppe zuvor noch nicht verwendet hatte.
Die Gruppe leitete die Angriffe ein, indem sie den Opfern E-Mails schickte und ein Gespräch begann, um Vertrauen aufzubauen. Der Schauspieler leitete das Opfer anschließend auf eine Website weiter, auf der es aufgefordert wurde, einen PowerShell-Befehl zu kopieren, einzufügen und auszuführen, der angeblich dazu diente, das Gerät als Teil der Betrugsmasche zu registrieren. Proofpoint stellt fest, dass eine Kette keine weiteren Payloads empfangen konnte, während bei einem anderen, ähnlichen Angriff eine mehrstufige Kette zur Ausführung mehrerer Skripte genutzt wurde, was zu folgenden Ergebnissen führte: QuasarRAT (öffnet in einem neuen Tab).
TA450 alias MuddyWater (Iran)
Im Bericht „ November 2024“ stellte Proofpoint fest, dass dieser Akteur – der auch unter den Bezeichnungen „ “, „MuddyWater“, (öffnet in einem neuen Tab),und bekannt ist – ClickFix einsetzte.
Der Angriff „ “ begann mit einer Phishing-E-Mail (wird in einem neuen Tab geöffnet) , die vorgab, ein Sicherheitsupdate von Microsoft zu sein. Dadurch wurde das Opfer schließlich dazu verleitet, PowerShell mit Administratorrechten auszuführen, einen Befehl aus der E-Mail zu kopieren, einzufügen und auszuführen.
TA422 und UNK_RemoteRogue (Russland)
Im Rahmen der Studie „ Dezember 2024“ stellte Proofpoint fest, dass ein russischer Akteur Nachrichten ohne Betreff an zwei Organisationen versandte, die vermutlich kompromittierte Zimbra-Server als Infrastruktur missbrauchten.
Diese E-Mails enthielten einen Link, der vorgeben sollte, von Microsoft Office zu stammen, und den Empfänger dazu aufforderte, die Website aufzurufen. Die Website täuschte zudem ein Word-Dokument vor und wies das Opfer an, den darin enthaltenen Code zu kopieren und auszuführen. Diese Website ging noch einen Schritt weiter und fügte einen YouTube-Link hinzu, der zeigte, wie man PowerShell ausführt.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die ClickFix-Technik ist mittlerweile unter Cyberkriminellen weit verbreitet, weshalb die Entdeckung von Proofpoint, dass sie von staatlich gestützten Akteuren eingesetzt wird, besonders bemerkenswert ist.
Es bleibt abzuwarten, ob weitere staatliche Akteure diese Technik übernehmen werden; die Tatsache, dass diese Akteure die Technik jedoch nur ein einziges Mal eingesetzt haben, könnte auf eine Art Testphase hindeuten.
Es ist zudem erwähnenswert, dass die „ClickFix“-Technik im Laufe der Monate immer beliebter wird, weshalb es wichtig ist, die Nutzer über einige der typischen Anzeichen aufzuklären.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie , das Tanium-Diskussionsforum (wird in einem neuen Tab geöffnet),sowie , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von : (wird in einem neuen Tab geöffnet),und .
