Eine von Nordkorea gesteuerte Hackergruppe hat nach Angaben von internationalen Sicherheitsbehörden staatliche und private Unternehmen in mehreren Ländern ausspioniert, um Informationen über militärische und atomare Anlagen zu stehlen. "Das Vereinigte Königreich und internationale Verbündete haben eine globale Cyberspionagekampagne aufgedeckt, die von Angreifern durchgeführt wird, die von der Demokratischen Volksrepublik Korea (Nordkorea) gesponsert werden, um die militärischen und nuklearen Ambitionen des Regimes zu fördern", teilte das britische Zentrum für Cybersicherheit (NCSC) mit.

Die unter dem Namen APT45 oder Andariel bekannte Gruppe gehöre vermutlich zu einer Einheit des nordkoreanischen Geheimdienstes Reconnaissance General Bureau (RGB). Sie habe es in erster Linie auf Verteidigungs-, Luft- und Raumfahrt-, Nuklear- und Maschinenbauunternehmen sowie in geringerem Masse auf Organisationen im Medizin- und Energiesektor abgesehen, hiess es in einem gemeinsamen, von der US-Bundespolizei FBI veröffentlichten Bericht.

Betroffen seien vor allem Einrichtungen in Grossbritannien, den USA, Südkorea, Japan und Indien. Andariel habe versucht, an Informationen wie Vertragsinhalte, Konstruktionszeichnungen und Projektdetails zu gelangen. Andariel habe auch Ransomware-Angriffe gegen US-Gesundheitsorganisationen gestartet, um Zahlungen zu erpressen, so der Bericht.

Das US-Justizministerium teilte mit, die Hackergruppe habe mit Lösegeldern weitere Cyberangriffe auf Verteidigungs- und Technologieorganisationen auf der ganzen Welt finanziert, darunter auch auf US-Regierungsstellen. Ein Geschworenengericht in Kansas City habe am 25. Juli Anklage gegen einen nordkoreanischen Staatsangehörigen erhoben.

Er sei an einer Verschwörung beteiligt gewesen, die darauf abgezielt habe, US-Krankenhäuser und andere Gesundheitsdienstleister zu hacken und zu erpressen. Dann habe er die Lösegelder gewaschen und die Erlöse zur Finanzierung weiterer Hackerangriffe weltweit verwendet. Für Hinweise auf den Gesuchten wurde eine Belohnung von bis zu 10 Millionen US-Dollar ausgeschrieben.

Gleichzeitig mit den Behörden hat auch das Security-Unternehmen Mandiant ein Advisory zu APT45 veröffentlicht. Die Firma arbeitete bei der Analyse der Gruppe mit den Behörden zusammen. Malware-Samples würden darauf hindeuten, dass die Hacker erstmals 2009 aktiv wurden. Sie seien für ihre "gross angelegten, effizienten Cyberoperationen gegen kritische Infrastrukturen und strategische Industrien bekannt", schreibt Mandiant.

Zuletzt habe die Gruppe ihre Operationen auf Ransomware-Angriffe ausgeweitet. Die Security-Experten gehen davon aus, dass diese Verlagerung zum Teil darauf abzielt, Einnahmen zu generieren, um breit angelegte Cyberkampagnen zu unterstützen. Dies unterstreiche die "eskalierende Bedrohung" durch APT45.

Michael Barnhart, Leiter von Mandiants Nordkorea Threat Hunting Team, sagt in einer Mitteilung: "Viele Fortschritte bei den militärischen Fähigkeiten Nordkoreas in den letzten Jahren können direkt auf die erfolgreichen Spionagebemühungen von APT45 gegen Regierungen und Verteidigungsorganisationen weltweit zurückgeführt werden. Wenn Kim Jong Un bessere Raketen fordert, sind es diese Leute, die ihm die Baupläne dafür stehlen."

Das britische NCSC schreibt: "Es wird gewarnt, dass in einigen Fällen sogar beobachtet wurde, dass die Akteure am selben Tag Ransomware-Angriffe und Spionageoperationen starteten und beide Aktivitäten gegen dasselbe Opfer einsetzten." Im gemeinsamen Advisory (PDF) der Behörden werden auch die zahlreichen Schwachstellen aufgelistet, die APT45 ausnutzte. Darunter finden sich bekannte Lücken von Microsoft, Citrix, Moveit, Goanywhere und Ivanti.

Die Sicherheitsbehörden riefen Unternehmen und Regierungen auf, sensible Daten besser zu schützen. Sicherheitslücken müssten geschlossen werden.