Wir. Springen 13 Jahre in der
Vergangenheit. Nach Seoul.
Es ist der. 20. März 2000. 13.
In einem Bürogebäude. Im Herzen der Stadt.
Tippt eine Journalistin bei YTM. Das ist einer der größten
Nachrichtensender der 24 7 in Südkorea läuft gerade an ihrem
Artikel, als der Bildschirm Ihres Rechners schwarz.
Wird. Es ist.
Kein Standby Mode. Es ist kein.
Kurzer Aussetzer, komplett schwarz.
Der Rechner hat sich Abgeschalten, versucht neu zu
starten und es kommt nichts mehr.
Aus einem weißen Text. Auf dem schwarzen Hintergrund
Boot device not found, please install and operating system.
On your hard disk. Wie das Betriebssystem ist weg.
Sie sieht sich um ihre Kollegin daneben genau der gleiche Text
und auch beim Kollegen dahinter. Alle Computer in der Redaktion
haben diesen gleichen weißen Text auf schwarzem Hintergrund
mit einer Fehlermeldung, die darauf hindeutet, dass kein
Betriebssystem mehr auf dem. Rechner.
Ist niemand, gerät aber sofort in Panik. 2013 das ist jetzt.
Einige Jahre her Computer streiken manchmal, das kennt
man. Man ruft dann die IT Abteilung
an, die werden das schon irgendwie beheben.
Aber dann kommen die ersten Anrufe.
Die Shinhan Bank ist Down, die Nong Hub.
Bank ebenfalls. Geldautomaten funktionieren
nicht mehr und es ist nicht nur ytm andere große Medienhäuser in
Südkorea hat es genauso getroffen, MBC, Kbs.
Gleichzeitig alles weg. Wie sich bald herausstellen
wird, sind insgesamt 48000 Computer in Südkorea betroffen.
Es ist der. Größte koordinierteste
Cyberangriff, den Südkorea je erlebt hat wahre Geschichten aus
dem verborgenen Teil des Darkschnitts Ich bin Red und.
Das ist Inside darknets. Hi, kurz bevor wir loslegen und
du wirst es wahrscheinlich niemals hören, weil du den
Podcast nicht im deutschen Anhörst.
Aber danke dir. 1236. Off by one.
Für deine donation. Auf by me a Coffee.
Wir hatten ja mit 1336 off by One ein komplettes Interview
über. Sein t Shirt.
Business und seine Geschichte mit Defcon und so weiter nachdem
ich ihn auf der DEFCON das erste Mal in Person getroffen habe und
davor mit ihm auch schon super viel Kontakt mit.
Hab mich riesig über deine donation gefreut.
Ich weiß du verstehst kein Deutsch oder nur ganz limitiert.
Aber danke. Die letzte Woche ist so viel
passiert, ich konnte es immer noch nicht ganz verarbeiten.
Vielleicht kennt ihr das, wenn ganz viele Sachen hintereinander
passieren jeden Tag und ihr konntet nicht mal wirklich
darüber schlafen, weil ihr direkt in das nächste Thema
wieder reingesprungen seid und dann müsst ihr erst am
Wochenende danach alles so ein bisschen nachverarbeiten und das
ist bei mir nur noch nicht passiert, hoffentlich morgen.
Aber ich war am Anfang der Woche beim Microsoft Standort in
Österreich und habe dort einen Vortrag gehalten über
verschiedene moderne Angriffsvektoren auf AI Agents.
Generell waren das super spannende Themen von wie Agents
funktionieren und aufgebaut sind bis zu Themen wie man sie modern
baut, anbindet und dann auch sichert.
Ganz am Ende gab es dann noch so eine Umfrage, welches Topic das
Most Valible war. Meine Präsentation kam als die
Wertvollste des Tages heraus, ziemlich cool, ich bin ja immer
noch super nervös, wenn ich vor Menschen vortrage und nicht
einfach hier in meinem Raum sitze und so ein bisschen
podcaste, deswegen freut mich, dass dann immer umso mehr, wenn
das gut ankommt und die Zuhörer und Zuhörerinnen da einen guten
Mehrwert von mir mitnehmen können.
Weiß auch, dass einige von der Microsoft jetzt meinen Podcast
hören. Also vielen Lieben Dank, dass
ich bei euch etwas präsentieren dürfte.
Hoffentlich machen wir bald wieder sowas.
Und dann bin ich eben von dieser Präsentation heimgefahren, habe
noch einen Arbeitskollegen am Weg abgeholt, bin dann irgendwie
so gegen 10 zu Hause gewesen, habe noch ein paar Sachen
vorbereitet und bin dann direkt am nächsten Tag wieder super
früh auf und zu einem Kunden für einen zweitägigen Pentest
gefahren. Ihr wisst ja, dass ich über
Pentests nie so viel erzählen kann, außer dass ich von früher
dort noch ganz viele Menschen kannte und damit dann wirklich
den ganzen Tag so voll focused durcharbeitet und dazwischen
noch mit ein paar Menschen redet dann.
Dann ist das super. Anstrengend.
Ich erwähne das manchmal, dass wenn man einen Pen Test richtig
macht, dass das echt keine gemütliche Arbeit ist, dass die
super anstrengend ist. Man fängt einen Task an, sieht
sich die Settings an, schau du man es ausnutzen kann, springt
direkt in das nächste und arbeitet sich so durch diese
Konfigurationen und Angriffswege springt immer weiter von dem
einen Step zu dem nächsten hat er auch nur 2 Tage Zeit und muss
alles Durchbekommen an dem Settings die man überprüft und
das ist dann auch immer super super.
Anstrengend und nach 2 Tage pentests wenn man es richtig
macht, wenn man es intensiv macht, ist man danach schon
wirklich geschlaucht, vielleicht auch, dass man sich ein bisschen
besser vorstellen kann, es ist jetzt nicht die gemütlichste
Arbeit, wo man einfach nur rumsetzt und so ein paar
Misskonfigurationen findet, es ist wirklich viel Arbeit in
verschiedensten Tools und sobald man rauskommt, fängt dann sogar
noch das Reporting an, also diese ganzen Fehler zu
dokumentieren. Also Long Story short.
Es ist einfach super. Viel Arbeit und ich bin immer
noch ein bisschen fertig von diesem Pen Test.
Nichtsdestotrotz schläft die ganze Cyberbubble nie und was
sich da alles so getan hat, das hören wir uns jetzt in den
Neuigkeiten aus der Cyberbubble an.
Neuigkeiten aus der Cyberbubble. Sind zum Ziel eines
großangelegten Cyberangriffs. Geworden.
Noch nie gegeben. Vor 3 Tagen, am 1.
April, hat der Iran erneut die Add US, also die Amazon
Infrastruktur. Im Bayran angegriffen.
Amazon Webservices ist die Cloud Infrastruktur von Amazon selbst,
auf dem Banken, Apps, Regierungssysteme und im Grunde
sehr, sehr viele Teile des modernen Internets.
Aufgebaut sind. Bayran ist ein kleiner
Inselstaat im Persischen Golf, in dem AVS.
Eine eigene Region betreibt die sogenannte Me.
Central 1 Region. Also Middle East Central.
Dieser Angriff vom 1. April war nicht der erste.
Bereits am 1. März 2026, also genau einen
Monat davor, haben iranische Drohnen 2 Rechenzentren in den
Vereinigten Arabischen Emiraten getroffen und dann eben diese
Raketenangriffe in Bairan. Konkret wurde das Hauptquartier
von Bedelco getroffen, dem größten
Telekommunikationsunternehmen dort, wohin auch die Amazon Web
Service Infrastruktur, darunter ein direkt Connection Node,
sind. Jetzt fragt man sich vielleicht,
warum greift der Iran Amazon Web Services an?
Die iranische Revolutionsgarde hatte zuvor 18 US Amerikanische
Tech Konzerne als legitime militärische Ziele bezeichnet.
Darunter sind riesige Firmen wie.
Apple, Google, Meta, Microsoft. Boeing und andere Amazon stand
ursprünglich gar nicht auf dieser Liste, war aber dann
trotzdem eines der ersten Ziele, weil der Iran behauptet, diese
Infrastruktur unterstützt US, amerikanische und auch
israelische Militäroperationen durch Daten, KI und
Geheimdienste. Nach dem Märzangriff meldet
Amazon, dass 73 Services betroffen waren, wo einen Monat
später erst 34 behoben wurden. Kundinnen mit Workloads in
dieser Region wurden dazu aufgefordert, in andere WS
Regionen zu migrieren. Und als Resultat von diesem
Ganzen hatten zum Beispiel die Emirates Mbd oder auch die Abu
Dhabi Commercial Bank große Probleme mit ihren Banking
Plattformen und Apps. Das pakistanische Filmtech
Unternehmen Satabe ist komplett offline gegangen, weil die
gesamte Infrastruktur eben auf diesen adabl US Services lief.
Diskussionen um diese Raketenangriffe, aber auch um
Hacks lief die ganze Woche dann heiß, wo dann auch so ein
bisschen die Aussage zusätzlich zu diesen Raketenangriffe kam.
Das iranische. Iranische Hacker, Gruppen, die
die US Regierung angreifen sowieso nichts zu befürchten
haben. Also dass wenn man in diesem
Land ist, dass man sich. Sofort einer Cyber.
Crime Gruppe anschließen sollte. Aber da habe ich ein gutes
Beispiel, warum das vielleicht nicht die beste Idee ist.
United was sein, war Mitglied der britischen Hackergruppe Team
Preußen. Als 17 jähriger unter dem
Pseudonym Trick hat er sich mit seinem Team Preußen in den E
Mail Account eines Mitarbeiters des ehemaligen britischen
Premierministers gehackt und dessen persönliche Daten und
Kontakte veröffentlicht. Daraufhin kam er dann ins
Gefängnis, danach nach Syrien und wurde so einer der
Haupthacker des Islamischen Staates, er hat dann zum
Beispiel Twitter und youtube Accounts des US Central Commons,
also CENTCOM, gehackt und darüber is Propaganda
verbreitet. Später hat er dann die Econs von
Newsweek und dem International Business Times übernommen.
Er hat außerdem eine Doxing Liste mit persönlichen Daten von
US Militärangehörigen veröffentlicht, also Namen,
Adressen, Fotos mit der expliziten Aufforderung diese an
is Sympathisanten auszuliefern. Er hat aber auch noch ganz viele
andere Sachen gemacht, zum Beispiel eine Spear Fishing
Kampagne gegen Journalisten und Aktivisten, die über IS
Menschenrechtsverletzungen berichtet haben.
Getarnt als Google Earth Slideshow, die im Hintergrund
Malware installiert hat. Er war so ein bisschen die
Kombination aus Cybercrime Online, Rekrutierung von neuen
Mitgliedern und dem direkten Kontakt zu Personen, die dann
tatsächlich diese Anschläge geplant haben, bis 2015, wo er
mit einer US Drohne in Syrien gezielt getötet worden.
Ist. Sein Tod war so der erste große
Hacker, der als ausreichend gefährlich eingestuft wurde, um
mit einem Drohnenangriff getötet zu werden.
Was man da so ein bisschen mitnehmen kann, die USA scheint
wohl auch in der. Bereitschaft zu sein, Hacker.
Und Hackerinnen physisch auszuschalten, wenn sie genug
Chaos. Anrichten.
Nur so als kleine Side Story. Intro haben wir ja mit Seoul
2013 begonnen, aber eigentlich müssen wir noch viel weiter in
die Vergangenheit zurück, weil Dark Seoul, also dieser
Cyberangriff, nicht einfach so aus dem Nichts kam.
Es ist das Ergebnis von Jahrzehnten geopolitischer
Geschichte, und es ist relativ wichtig im Bezug auf den
Angriff, also springen wir nach Südkorea in den 1950 ern.
Penyo Montura von Kui. Canyon aber ihr nennt Ari
Santanyon Wa San Manu. Denn nach dem Koreakrieg in den
1950 ern ist Südkorea eines der ärmsten Länder in Ostasien.
Die Bevölkerung ist arm und kämpft ums Überleben.
Was dann aber passiert, ist eines der wildesten Comebacks in
der modernen Geschichte. Das sogenannte Miracle of the
Hand River, also das Wunder am Han Fluss, benannt nach dem
Fluss, der durch Seoul fließt. Die südkoreanische Regierung
nimmt so ein paar Medienkonzerne, die
Familiengeführt in Korea sind, gibt ihnen Steuervorteile und
staatliche Unterstützungen und auch ganz viele andere
Förderungen, damit diese eben im Export und in Innovation stärker
werden, darunter Samsung, LG, Hyundai und.
Und dieser ganze Plan funktioniert dann auch in den
Siebzigern und Achtzigern explodiert die südkoreanische
Wirtschaft, dann kommt noch on top das Internet, die Regierung
erkennt früh, dass diese Breitbandinfrastruktur das
nächste große Ding ist. Einerseits als wirtschaftlicher
Wachstumsmotor und andererseits die Lösung für die Finanzkrise,
die in den späten Neunzigern durch Asien fehlt.
Also entstehen auch hier wieder massive und gezielte Investments
und 2010. Einige Jahre später ist Südkorea
die Breitbandhauptstadt der Welt.
Es hört sich jetzt vielleicht gar nicht so viel an, aber 81%
der Bevölkerung ist online und es ist eine der höchsten
Vernetzungsraten der Welt, aber eben genau diese extreme
Vernetzung hat einen Preis, je digitaler die Gesellschaft.
Desto größer ist natürlich auch die Cybercrime Angriffsfläche
und niemand hat das besser verstanden als Südkoreas Nachbar
im Norden. Nordkorea ist so genau das
Gegenteil von Südkorea nach dem Kalten Krieg hat sich das Land
selbst abgeschottet und eine Eigensversorgungswirtschaft
aufgebaut, die ja auch chronisch scheitert.
In den Neunzigern gibt es Hungersnot in dem Land. 100
Tausende sterben, nur das Militär, die Ideologie und das
Regime hat Vorrang. Die normalen Bürger und
Bürgerinnen nicht, während keiner Geld hat, kein Strom, die
Menschen sterben, sieht die nordkoreanische Führung trotzdem
aufmerksam in den Süden und erkennt dabei etwas
entscheidendes Cyber Warfare, also Cyberkrieg ist billig,
cyberkrieg ist anonym und. Und Cyberkrieg ist schwer
nachzuweisen. Es gibt immer so diese plausible
Abstreitbarkeit. Nein, das waren wir gar nicht,
das waren andere Hacker, die nur die gleichen Tools verwenden wie
wir. Außerdem kann man so ein Cyber
Program und Hacker im Verborgenen aufbauen, ein
komplettes Militär hat sofort internationale Aufmerksamkeit.
Kim Jong Il beginnt also in den 1990 ern ein staatliches
Cyberprogramm aufzubauen. Technische Ausbildung für
ausgewählte Talente, Einrichtung eines Geheimdienstes und des
Reconnaissance General Bureau und der Aufbau von weiteren
Cybereinheiten, die aus dem Ausland operieren, also oft in
China, wo die Infrastruktur besser ist und die Behörden
diskret wegschauen. Und das sieht man dann auch.
Zum Beispiel wie der Google German Ericons mit im Jahr 2013
nach Nordkorea fliegt und sieht, dass die Büros der höheren
Beamten nagelneue Apple Geräte und neues Equipment haben, also
in den richtigen Abteilungen und auch im Militär ist in Nordkorea
das Geld da, während die Bevölkerung darunter leidet.
Nordkorea weiß ganz genau, was sie da tun.
Und während es in den ersten Jahren noch so ein bisschen
ruhiger ist, kommen die ersten spürbaren Angriffe so gegen 2009
didos Attacken, also Distributed Denial of Service.
Diese massenhaften Überflutungen von Servern mit Anfragen, bis
sie zusammenbrechen gegen unter anderem US, amerikanische und
südkoreanische Regierungswebseiten.
Wehrmechanismen gegen ditos Attacken sind ja inzwischen viel
besser damals eben aber nicht, wodurch diese Attacken einen
Schaden von geschätzt $36000000 verursachen.
Daraufhin bemerkt Südkorea recht schnell, wir müssen irgendetwas
tun, also bauen Sie ein Jahr später 2010 ein Cyber Command
Center und 2011 eine Cyber Polizeieinheit auf und.
Und zusätzlich definieren sie dann auch noch einen nationalen
Cyber Security Masterplan. Klingt solide, aber dieser Plan
hat mehrere Probleme, dass sich durch mehrere Bereiche ziehen
wird zum. Beispiel das Budget jetzt.
Haben sie so viel Geld in diese ganze Infrastruktur gesteckt?
Bauen jetzt eben dieses Sicherheitsbudget auf und geben
dann 2013 circa $200000000 für diesen Cybercrime Schutz für
Informationsschutz aus 200000000 klingen nach super viel, aber
zum Beispiel im Vergleich die USA gibt im selben Jahr 46
Milliarden aus, das ist 230 Mal so viel.
Zweitens gibt es nicht genügend Menschen, die sich in
Cyberwarfer oder Cyber Security auskennen, damit man sich das
ein bisschen besser vorstellen kann.
Südkorea hat 2013 circa 400 Personen in diesen Sparten 400
Personen Nordkorea wo Armut herrscht, hat im selben Jahr
schätzungsweise 3000 und. Und diese nordkoreanischen
Einheiten sind nicht komplett neu, sondern sie trainieren und
Exploiten seit den Neunzigern, manche seit der Kindheit
rekrutiert aus den besten Köpfen des Landes.
Und drittens hat der National Intelligence Service, also der
südkoreanische Geheimdienst NIS, ein Riesenproblem.
Er ist intern komplett im Chaos. Es gab super viele Abhörskandale
gegen Oppositionsführerinnen und die Bevölkerung selbst hat auch
0 Vertrauen in die Behörde, die sie eigentlich schützen soll.
Also es läuft nicht ganz so, wie man sich's erhoffen würde und
dann eskaliert die geopolitische Lage noch viel mehr.
Nordkorea testet eine Rakete, offiziell ein Wettersatellit, in
Wirklichkeit war es ein Nukleartest in Verkleidung, die.
Die ganzen internationalen Gemeinschaften reagieren dann
mit Sanktionen und Nordkorea selbst kündigt die
Friedenspakete mit Südkorea und der Grenzübergang wird
geschlossen am 13 März 2013 erklärt Nordkorea den
Waffenstillstand von 1953 das ist das Dokument, das den
Koreakrieg eigentlich beendet hatte, für nichtig.
Technisch gesehen sind damit die beiden Koreas wieder im Krieg.
Kim Jong Un kommt gerade in diesem Zeitpunkt an die Macht.
Jung, alle sehen auf ihn, haben Zweifel und er braucht ein
Signal. Etwas, das zeigt, dass Nordkorea
trotz Isolation und Sanktionen nicht machtlos ist.
Etwas, das Südkorea weh tun würde, aber es muss so
verschwommen sein, dass man es nicht direkt beweisen kann.
Also springen wir wieder zum 20 März 2013 zu dem Teil, den wir
aus dem Intro schon gehört haben.
Kurz nach 14:30 Uhr nachmittags gehen in der Redaktion bei y tn,
einem dieser größten 2407 Nachrichtensender Südkoreas,
alle Bildschirme aus und es ist eben kein Standby, denn wenn man
neu startet, kommt ja immer dieses Bild, welches
Betriebssystem auf dem Gerät ist.
Und statt dem Betriebssystem kommt ein Boot Device not found
das. Was passiert zum Beispiel, wenn
man die Festplatte oder die SSD aus dem Gerät ausbaut und was
folgt, ist eines der größten Cyber Events, das Südkorea je
gesehen hat. 48000 Computer sind betroffen, gleichzeitig Banken,
Medienhäuser, Krankenhäuser, so viele Bereiche von, wir nennen
es in der Cyberbubble kritischer Infrastruktur, sind betroffen.
Und das super Spannende für diesen Angriff gibt es keinen
eindeutig bestätigten Single Point of Entry, sondern 3
ergänzende Theorie. Das heißt, man hat gesehen, dass
3 verschiedene Sachen passiert sind, man weiß aber nicht
hundertprozentig, ob ein Einzelner davon der Auslöser war
oder alle 3 Angriffe gleichzeitig die Ursache waren.
Der erste Vektor den es gab, war ein Supply Chain Angriff auf den
Antivirus Hersteller an Lab. Molware wurde dort über ein
kompromittiertes Software Update eingespielt und hat es dann
weiter verteilt. Das ist ein ähnliches Szenario,
was momentan gerade so passiert mit Axios und Trivy eine Firma
wird gehackt und die Software die sie verwenden oder Pakete
die sie verwenden werden mit bösartigen Code befüllt und
greifen dadurch mehrere weitere Firmen an, also Supply Chain
Angriff die. Die zweite.
Theorie ist ein watering Hole Angriff.
Die Angreifer haben eine Webseite des Korea Software
Property Rights Concil kompromittiert, eine Seite, die
von vielen Zielunternehmen regelmäßig besucht wird.
Über einen Java Script Export wurde beim simplen Besuch der
Seite Malware direkt in die Systeme der Besucher innen
injected und die dritte Theorie spearfrishing.
Also diese gezielten E Mails mit bösartigen Anhängen, Malware und
Viren der als legitime Dateien getarnt waren und mit jeder
dieser Methoden könnten diese Angreifer bereits Monate vorher
Zugriffe auf diese Geräte gehabt haben.
Genug Zeit um Passwörter zu sammeln, Systeme und
Netzwerkpläne zu dokumentieren und sich auf diesen großen Tag
dieser Abschaltung vorzubereiten.
Ich möchte es noch ganz kurz 2 bis 3 Minuten bisschen
technischer machen, wo wir die Malware, die dann im Endeffekt
schuld war für diese Abschaltung ganz kurz durchgehen.
Sie hatte nämlich 3 wichtige Kernkomponenten ganz oben.
Als erstes kann man Gropper, das sieht aus wie eine harmlose
Datei, ein normaler Anhang, ein Bild, ein Dokument, was auch
immer, und sobald man dieses Bild oder dieses Dokument
öffnet, lädt es die eigentliche Payload erst nach, also es ist
nicht direkter Virus, der ausgeführt wird, sondern er wird
erst nachgeladen. Zweitens kam dann dieser Master
Boot Record Viper und das ist eigentlich das Ding, was dem
Computer beim starten sagt. Wo liegt das Betriebssystem und
wo soll er booten. Einfach gesagt kein MBR, kein
Computerstart der Viper hat diesen MBR einfach überschrieben
und dann waren die Systeme weg, nicht gecrasht, nicht neu
gestartet, sondern konnten einfach nicht mehr starten und
drittens gab es noch einen Red so wie ich Red einen Remote
Access Trojaner. Über den die Angreifer die
infizierten Maschinen fernsteuern und Daten
exfiltrieren konnten, damit man sich ein bisschen leichter
vorstellen kann, wenn ihr eine Red zum Beispiel von einem
Cyberkriminellen auf eurem Computer habt, dann kann dieser
Angreifer eure Daten nehmen, Eure Passwörter exfiltrieren und
euren Computer fernsteuern. Aber super spannend ist die
Malware selbst. Hatte dieses Startdatum
einprogrammiert. Das heißt, die Malware war
bereits auf den Computern und sie wurde so programmiert, dass
sie genau am 20 März um 14:00 Uhr auslöst.
Fun fact es war nur der 20 März, aber kein Jahr hinterlegt.
Das heißt, die Malware hätte jedes Jahr aufs Neue am 20 März
ausgelöst. Und nach diesem ersten Angriff
ging es aber immer noch weiter. Webseiten von LG, No Cut News
und mehreren Banken wurden defaced, also mit fremdem Inhalt
wurden die Webseiten überschrieben, Totenköpfe grüner
Textnachrichten mit Hacked by who is team.
Wenig später meldet sich noch eine zweite Gruppe, die sich New
Romantic Cyber Army Team nennt, die behauptet 180000 PC S
zerstört und Massen an persönlichen Daten gestohlen zu
haben. Links zu dropboxen werden
gepostet, welche aber innerhalb von wenigen Sekunden wieder down
sind. Nach dem Cyberangriff macht man
natürlich dann ganz viel Forensik, schaut, wo gehen die
Verbindungen hin und Südkorea findet sehr, sehr viele
Infrastrukturspuren in China, und damals wusste man eben auch
schon, dass nordkoreanische Hacker in China stationiert
sind, und es kam immer mehr die Vermutung auf, dass es halt eben
wirklich nordkoreanische Hacker waren.
Beide Gruppen haben verschiedene Viper verwendet, aber die
Forensik zeigt, der Basiscode ist identisch mit minimalen
Unterschied. Man kann davon so ein bisschen
ausgehen, es ist dieselbe Gruppe gewesen, der finale Beweis,
geliefert vom Korea Internet und der Security Agency 22 der IP
Adressen, die beim Angriff benutzt worden sind, sind seit
2009 mit nordkoreanischen Operationen verknüpft. 18
Malware samples, die verwendet worden sind, haben auch
Überschneidungen mit früheren nordkoreanischen Cyberangriffen.
Das heißt, man kann sehr, sehr gut sagen, es war Nordkorea
Researcher innen weltweit versuchen dann trotzdem immer
noch das große ganze Bild zu verstehen und ein Researcher
namens Ryan Scherschewatow wird nach diesem Angriff fast
besessen davon, das große ganze Bild zu verstehen.
Der Reversed diese ganze Malware und fängt nicht beim Master Boot
Record Viper an, sondern bei diesem Remote Access Trojaner,
dem heimlichen Teil, der Teil der Daten exfiltriert und er
findet dann auch etwas etwas unscheinbares, einen sogenannten
Compiled path. Das ist im Grunde ein Dateipfad,
den der Entwickler beim Kompilieren des Codes
hinterlässt. Also irgendwo muss ja die
Software auf eurem Rechner kompiliert werden und dieser
Pfad kann drinnen stehen. In diesem Fall war es C Users
Developer, also Developer ist jetzt sehr unscheinbar, da kann
man nicht sehen wer das war. Projects troy the red Release 2
Wörter fallen hier auf the Red, das ist der Name des Schadcodes
und Troy der Name der Kampagne der.
Die Kampagne Troy kannte man aber schon aus dem Jahr 2011 2
Jahre davor. Es war ein Virus, der getarnt
war als Update Tool des Antivirus Herstellers an Labs.
Wer es dann ausführt sieht einen Bildschirmschoner mit Fotos
eines gesunkenen Kriegsschiffs, es ist ein nationales Symbol,
das in Südkorea sehr populär ist und es war so ein bisschen als
Propagandavirus deklariert worden.
Also einfach nur ein Virus. Deren Bildschirmschoner ersetzt
nichts Schlimmes, dachte man sich damals, bis man eben
bemerkt, dass beide zu Project Troy gehören, also sieht sich
Ryan diesen Virus aus dem Jahr 2011 noch genauer an und findet
eine BS. Dll erkennt diese Datei, er hat
sie schon mal gesehen in einer E Spionage Operation aus 2009. 4
Jahre vor dem eigentlichen Angriff gleiche Code Struktur,
gleiche Kommunikationsmethode mit dem C 2 Server, gleicher
Code Kern. Das ist keine Ähnlichkeit, das
sind dieselben Entwickler, Dark Soul war nicht der Angriff, es
war das Ende einer mindestens vierjährigen heimlichen
Operation mit. Während die ganze Welt 2013 auf
zerstörte Computer sieht, wird langsam klar, die Angreifer
waren schon seit mindestens 2009 in den Systemen.
Sie haben Daten gesammelt, mitgehört, gewartet.
Dieser MBR Wipe war wahrscheinlich gar nicht das
Hauptziel, es war viel wahrscheinlicher, das
Ablenkungsmenü war am Ende einer langen, stillen
Datensammeloperation. Der Abschluss deshalb kann man
dann auch nicht genau sagen, wie groß der Schaden eigentlich
wirklich ist. Durch Dark Soul, also diesen
Viper selbst, war der Schaden geschätzt, aber circa $750000000
in diesem Wert ist aber die ganze Kampagne zwischen
mindestens 2009 und dann eben bis hinzu 2013 nicht involviert.
Südkorea hat nach diesem Incident das Cyberbudget
verdoppelt, nochmal eine Cyberpolizei aufgebaut und enge
Zusammenarbeit mit der USA vereinbart.
Und während das alles auf der Welt.
Passiert hat. Nordkorea natürlich auch seine
Kapazitäten einfach weiterentwickelt.
Dieses ganze Didos und Viping passiert gar nicht mehr, aber
jetzt haben wir Supply Chain Angriffe, Krypto heißt es in
Milliardenhöhe. Und it Mitarbeiter, die
undercover in europäische und amerikanische Tech Unternehmen
infiltriert werden. Dark Soul war vielleicht der
Abschluss einer riesigen Cyberoperation, aber es war
definitiv nicht der Höhepunkt der nordkoreanischen Angriffe,
es war erst der Anfang. All me or just exploit me to he
get your planetration spoof me and just ruom me and i click and
so infiltration fish me and just breach me make me a dryfixation
call me and just was me i dougs man's reputation.