Falls Sie unser jüngstes virtuelles Fireside Chat „Behind the Screens: North Korea’s Focus on DMARC in Email Espionage“ verpasst haben oder aufgrund geografischer Einschränkungen nicht teilnehmen konnten, haben wir für Sie vorgesorgt.
Gemeinsam mit Cybersicherheitsexperten des Federal Bureau of Investigation (FBI) und der Stanford University sowie Red Sift untersuchte die Sitzung, wie die nordkoreanische Cyber-Spionagegruppe Kimsuky agiert. Als Advanced Persistent Threat (APT)-Akteur, der mindestens seit 2012 aktiv ist, hat Kimsuky schlecht konfigurierte Domain-based Message Authentication, Reporting, and Conformance (DMARC)-Richtlinien ausgenutzt, um Spear-Phishing-Kampagnen zu starten.
Zum Panel gehörten Natalie Wilson, Special Agent beim FBI; Emily Tinao, Intelligence Analyst beim FBI; Dr. Herb Lin, Senior Research Scholar an der Stanford University und dem Hoover Institute; sowie Dr. Sean Costigan, Managing Director of Resilience Strategy bei Red Sift. Zusammen gaben sie entscheidende Einblicke, wie E-Mail-Sicherheit gestärkt werden kann, um diesen Bedrohungen entgegenzuwirken.
Bringen wir Sie auf den neuesten Stand
Das primäre Ziel von Kimsuky ist der Einsatz von Cyber-Spionageaktivitäten zur Informationsbeschaffung und nicht die Verursachung von Störungen oder der Diebstahl von Finanzdaten. Im Rahmen ihrer langjährigen Aufklärungskampagnen hat die APT-Gruppe eine Reihe von US-amerikanischen und alliierten Organisationen ins Visier genommen, wie Universitäten, Think Tanks und gemeinnützige Organisationen, um sensible geopolitische Informationen zur Unterstützung des nordkoreanischen Regimes zu sammeln.
In einer im Mai 2024 vom FBI, der NSA und dem State Department herausgegebenen gemeinsamen Warnmeldung wurde dargelegt, wie Kimsuky DMARC-Fehlkonfigurationen genutzt hat, um an wertvolle Informationen zu gelangen. Diese Verschiebung des Fokus hin zur Sammlung sensibler Informationen über Atompolitik und Sanktionen verdeutlicht, wie wichtig es für Organisationen – insbesondere Universitäten und Think Tanks – ist, ihre digitalen Assets zu sichern.
Durch Spear-Phishing nutzt die nordkoreanische APT-Gruppe hochgradig maßgeschneiderte und täuschende E-Mails, die vertrauenswürdige Quellen wie Regierungsbeamte, Journalisten oder hochrangige Amtsträger imitieren sollen. Diese Methode verleitet Zielpersonen dazu, auf Links zu klicken oder waffenfähige Anhänge zu öffnen, die schädliche Malware oder eine bösartige Webadresse enthalten.
Die Ausnutzung von DMARC
Das FBI betonte, dass Kimsukys Erfolg größtenteils auf der Ausnutzung schlecht konfigurierter oder verwalteter DMARC-Richtlinien beruht, wodurch die E-Mail-Sicherheit umgangen und illegitime Identitätsvortäuschung ermöglicht wird. Dies hat es Kimsuky ermöglicht, zunehmend ausgefeilte, aufklärungsorientierte Operationen durchzuführen und sich von den traditionellen Finanzcyberverbrechen zu entfernen, die mit nordkoreanischen APT-Gruppen in Verbindung gebracht werden. Das FBI wies auf die Notwendigkeit einer verbesserten Cyberhygiene hin, da vielen Organisationen noch immer die richtigen Konfigurationen fehlen, die zur Verhinderung solcher Angriffe erforderlich sind.
Im weiteren Verlauf zu Kimsukys Spear-Phishing-Techniken erläuterte das FBI-Team, dass die Gruppe häufig in vertrauenswürdige Netzwerke eindringt und E-Mails versendet, die scheinbar von legitimen Quellen stammen. Diese Taktik hilft Kimsuky, das Vertrauen hochrangiger Zielpersonen zu gewinnen, bevor schädliche Inhalte wie bösartige Links oder Anhänge zugestellt werden. Das FBI wies zudem darauf hin, dass Organisationen ihren DMARC-Richtlinien Aufmerksamkeit schenken müssen, um Schwachstellen zu verringern und zu verhindern, dass diese Phishing-Kampagnen zu größeren Cyberangriffen eskalieren.
Eine umfassendere Herausforderung jenseits von DMARC
Kimsukys Taktiken, Techniken und Verfahren werfen größere Cybersicherheitsbedenken auf, einschließlich nationaler Sicherheitsimplikationen und des Risikos offensiver Cyberoperationen. Dr. Lin merkte an, dass Universitäten und Think Tanks, die wertvolles geistiges Eigentum generieren und von Gegnern als maßgeblich für das Verständnis oder die Beeinflussung der US-Politik angesehen werden, besonders attraktive Ziele für Kimsuky und ähnliche staatlich unterstützte Gruppen sind. Lin betonte, dass Organisationen Cybersicherheit als Teil einer umfassenden Verteidigung gegen staatlich unterstützte Cyberbedrohungen priorisieren müssen.
Dr. Costigan gab praktische Ratschläge für Institutionen und hob hervor, dass Bedrohungsakteure wie Kimsuky aktiv nach fehlkonfigurierten oder unvollständigen DMARC-Richtlinien suchen, um diese auszunutzen. Er ermutigte Organisationen, ihre DMARC-Einstellungen zeitnah zu überprüfen und zu aktualisieren, und betonte, dass es effiziente und effektive Möglichkeiten gibt, die E-Mail-Sicherheit zu verbessern.
Eine korrekt konfigurierte DMARC-Richtlinie hilft nicht nur, Phishing-Angriffe zu verhindern, sondern stärkt auch die allgemeine Widerstandsfähigkeit der Organisation. Es gibt noch erheblichen Spielraum, um die Cybersicherheit weiter zu verbessern. PwCs jüngste 2025 Global Digital Trust Insights-Umfrage zeigt, dass nur 2 % unternehmensweite Cyber-Resilienz umgesetzt haben, trotz einer 77-prozentigen Erwartung an steigende Budgets für das Management der Cybersicherheit. Positiv zu vermerken ist, dass sich die DMARC-Einführung verbessert – teilweise dank der jüngsten Google- und Yahoo!-E-Mail-Anforderung für Massenversender sowie globaler Vorgaben zur DMARC-Konformität.
Abschließende Erkenntnisse und wie Sie sich schützen können
Während der Sitzung wurden zahlreiche Informationen vermittelt, und die wertvollen Einblicke aller Referenten werden entscheidend sein, um einen stärkeren Cybersicherheitsschutz zu gewährleisten, insbesondere gegen ausgeklügelte Akteure wie die APT-Gruppe. Dr. Costigan fasst die drei wichtigsten Erkenntnisse der Sitzung unten zusammen:
- Universitäten und Think Tanks erzeugen sensible Informationen und erhebliches geistiges Eigentum. Als solche sind sie bevorzugte Ziele für Cyber-Ausnutzung durch APT-Gruppen wie Kimsuky.
- Bedrohungsakteure sind auf der Suche nach Schwachstellen und Gelegenheiten. Die Ausnutzung unvollständiger oder schlecht konfigurierter DMARC-Richtlinien liegt genau in ihrem Kompetenzbereich, und wir können erwarten, dass weitere Cyberkriminelle und APT-Gruppen Kimsukys Beispiel folgen werden.
- Wenn Sie im Risiko- oder Cyber-Team Ihrer Institution tätig sind, oder auch wenn Sie einfach daran interessiert sind, die Cyber-Resilienz Ihrer Organisation zu verbessern, überprüfen Sie Ihre DMARC-Richtlinie. Sollte diese nicht vorhanden, unvollständig oder falsch konfiguriert sein, wissen Sie, dass es schnelle und kosteneffektive Mittel gibt, um Sicherheit zu erreichen.
Das Fireside Chat verdeutlichte den dringenden Bedarf an vertrauenswürdigen öffentlich-privaten Partnerschaften, um Organisationen zu helfen, gegen APT-Bedrohungen vorzugehen. Das FBI bat Universitäten, Think Tanks und gemeinnützige Organisationen, sich zu melden, wenn sie Druck von staatlich unterstützten Gruppen verspüren, und zugleich ihre DMARC-Konfigurationen und Cyberhygiene-Praktiken zu verbessern.
Während sich Kimsukys Taktiken weiterentwickeln, beruhen sie häufig auf Schwachstellen, die sich leicht beheben lassen. Proaktive Maßnahmen zur Sicherung von E-Mail-Systemen wie DMARC können die von diesen Advanced-Persistent-Threat-Gruppen ausgehenden Risiken erheblich reduzieren – ein klarer Hinweis darauf, dass robuste Cybersicherheitsprotokolle in der heutigen digitalen Landschaft keine Option, sondern eine Notwendigkeit sind.
_________
Lernen Sie die Referenten kennen
Natalie Wilson ist Special Agent bei einem National Security Cyber Squad. Sie untersucht Fälle von Cyber-Eindringen im Zusammenhang mit APT-Gruppen aus der VR China und Nordkorea. Bevor sie sich mit Cyberfragen befasste, hatte Natalie eine umfangreiche Karriere in der Spionageabwehr und verfügt über mehr als 10 Jahre Erfahrung in Ermittlungen zu Diebstahl von Geschäftsgeheimnissen und Wirtschaftsspionage.
Emily Tinao ist Intelligence Analyst (IA) im New Yorker Außenbüro des Federal Bureau of Investigation. Tinao kam 2015 zum FBI und hat an verschiedenen kriminellen Ermittlungen und Fällen der nationalen Sicherheit im Cyberbereich mitgewirkt.
Dr. Herb Lin ist Senior Research Scholar für Cyberpolitik und -sicherheit am Center for International Security and Cooperation sowie Hank J. Holland Fellow in Cyber Policy and Security am Hoover Institution, beide an der Stanford University. Seine Forschungsinteressen betreffen breit gefasst die politikrelevanten Dimensionen von Cybersicherheit und Cyberspace, wobei er sich besonders für den Einsatz offensiver Operationen im Cyberspace als Instrumente nationaler Politik sowie für die Sicherheitsdimensionen von Informationskriegsführung und Einflussoperationen auf die nationale Sicherheit interessiert.
Dr. Sean Costigan ist Managing Director of Resilience Strategy bei Red Sift, wo er die globalen Richtlinien und Strategien des Unternehmens überwacht und dazu berät. Als Fachmann der Cybersicherheitsbranche erhielt Sean 2023 den Serge Lazareff-Preis für seine Beiträge zur NATO.
