Kontor 121

Office 121 är namnet på en underavdelning av Nordkoreas hemliga tjänst General Bureau for Reconnaissance , som driver cyberkrigföring under termen "hemligt krig" , som också är känt i Nordkorea . Byrån, som grundades 1998, är en del av ”Office for General Enlightenment”, en spionageavdelning inom militären som fokuserar på hemliga handlingar hemma och utomlands.

Enligt FN är kontoret ansvarigt för digitala bankrån med skador på miljarder.

Målsättning

Enligt analyser från det amerikanska försvarsdepartementet bedriver Nordkorea offensiva operationer i cyberrymden . De ses som en effektiv och billig metod för att kompensera för eventuell underlägsenhet i klassiska militära områden. Åtgärderna riktas främst mot Sydkorea, de ska orsaka allmänna störningar där. De vill också få tillgång till hemlig information. Förenta staternas försvarsdepartement har observerat flera cyberattacker sedan 2009 där Nordkorea misstänks vara den skyldige.

I augusti 2019 publicerade FN: s säkerhetsråd en rapport som utpekade den nordkoreanska staten som ansvarig för ett stort antal cyberattacker och påstod att Nordkorea har kunnat samla in betydande medel genom rovdåd i cyberrymden under de senaste åren, som har varit avgörande för finansiering av det nationella kärnvapenprogrammet. Operationerna sägs ha genomförts främst av kontor 121. Som en motreaktion mot kärnvapenrustningen i Demokratiska folkrepubliken Korea införde FN: s säkerhetsråd olika sanktioner mot den totalitära regimen, med början i resolutioner nr 1718 (2006) och nr 1695 (2006). Dessa ledde till att staten var starkt begränsad i sin ekonomiska handelsfrihet, men trots många embargo för militära och ekonomiska varor fortsatte Nordkorea att upprätthålla och utveckla det kontroversiella kärnvapenprogrammet . FN ser nordkoreanska cyberoperationer som en av de främsta finansieringskällorna för statens kärnvapenprogram . FN uppskattar att Nordkorea kunde stjäla uppskattningsvis två miljarder amerikanska dollar genom cyberattacker under de senaste åren av 2010 -decenniet fram till november 2020.

Struktur och organisation

Enligt en rapport från Reuters nyhetsbyrån 2014, landets mest talangfulla dataexperter arbetar på kontoret. Samma år rapporterade en avhoppad spion att cirka 1 800 specialister var anställda på kontoret. I januari 2015 meddelades att antalet anställda på kontoret skulle ökas till över 6 000 vid årets slut. Uppskattningarna är högre (från och med 2021): mellan 3 000 och 10 000 statsanställda nordkoreanska hackare. Många av hackarna är akademiker från Pyongyang Automation University . Nya medarbetare är föremål för en strikt urvalsprocess och rekryteras ibland redan vid 17 års ålder. Byråns personal är bland de högst betalda i staten. Förklädda som anställda i nordkoreanska handelshus är några av dem också stationerade utomlands, medan familjerna som stannade hemma åtnjuter många privilegier.

Office 121 är en underavdelning av General Bureau for Reconnaissance och består från och med 2019 av följande enheter:

  • Lab 110
    • Kontor 98
    • Kontor 414
    • Kontor 35
  • Enhet 180
  • Enhet 91
  • 128 Sambandskontor
  • 413 Sambandskontor

Enligt en rapport från det amerikanska försvarsdepartementet har avdelningen över 6000 anställda, varav fyra operativa enheter rapporterar till Office 121, som beskrivs enligt följande:

Andarial

Den amerikanska militären uppskattar storleken på Andarialgruppen till cirka 1 600 medlemmar. Enhetens uppgift är att spionera främst på fientliga datasystem och att upptäcka potentiella svagheter för framtida attacker.

Bluenoroff

Enligt uppskattningar från den amerikanska militären är storleken på Bluenoroff -gruppen cirka 1700 medlemmar. Gruppen ansvarar för att samla in medel som går till finansieringen av den nordkoreanska staten. Som en del av detta skapande system tillämpas taktik och metoder från området datakriminalitet .

Electronic Warfare Jamming Regiment

Den amerikanska militären antar att Office 121 är underordnat ett elektroniskt krigföringsstoppregiment. Regementet, med huvudkontor i Pyongyang, sägs bestå av tre bataljoner som är utbildade i elektronisk krigföring. Enligt USA är bataljonerna troligen belägna i Kaesong , Haeja och Kumgang . Electronic Warfare Jamming Regiment rapporteras ansvara för elektroniska motåtgärder i VHF / UHF -området . Rysk störningsteknik används för att störa motsatta signaler från hela intervallet på cirka 48 till 97 kilometer av det relevanta elektromagnetiska spektrumet.

Lazarus

Lazarus är en APT -grupp som har upprepade gånger associerats med Nordkorea tidigare . Den amerikanska militären beskriver Lazarus tillvägagångssätt så här: Gruppens uppgift är att skapa socialt kaos genom att känna igen svaga punkter i fiendens nätverk och utnyttja dem om de beordras. Grupperingen matar in skadlig kod i det fientliga nätverket och aktiverar det vid en taktiskt fördelaktig tidpunkt, vilket kan ta flera månader. I de flesta fall leder aktiveringen av skadlig programvara till ett avbrott eller permanent förstörelse av de infekterade systemen. Den amerikanska militären tillskriver WannaCry -attackerien från 2016/17 till Lazarus. En medlem av Lazarus -gruppen sägs vara Jin Hyok Park, en nordkoreansk medborgare som efterlyses av FBI. Park ska bland annat ha varit inblandad i attacken mot Sony Pictures.

De enskilda grupperna består förmodligen av ytterligare undergrupper som fungerar under olika pseudonymer.

Aktiviteter och metoder

Exemplarisk samling av incidenter

År 2013 var Sydkorea målet för en stor cyberattack där över 30 000 persondatorer hackades. Huvudmålen var banker, medieföretag och myndigheter samt presidentens kontor. Amerikanska myndigheter antar att författarskapet kom från Nordkorea. Man tror också att Nordkorea sprider ett skadligt virus i tusentals smartphones i Sydkorea samma år .

Den globala allmänheten blev medveten om Nordkoreas offensiva cyberverksamhet i december 2014 när Sony Pictures tillfälligt stoppade teaterutgivningen av filmen The Interview i USA, där den nordkoreanska statschefen Kim Jong-un är parodierad. Sony Pictures datorer var tidigare målet för en hackingattack som stal intern information, inklusive konfidentiell personlig information. Hackarna lämnade också hotfulla meddelanden på systemen. Amerikanska säkerhetsexperter misstänker att Office 121 genomförde hackningsattacken. En talesman på nordkoreansk tv uppgav dock att hans land inte var ansvarigt för hackningsattacken. Ändå erkände talaren attacken som en rättvis handling. John McAfee , grundaren av datasäkerhetsföretaget McAfee , uppgav dock i en intervju med International Business Times att han var i kontakt med hackarna i attacken mot Sony, som visste deras namn och kunde garantera att Nordkorea inte var ansvarig för hackningsattacken mot Sony Pictures Entertainment är ansvarig.

Den malware WannaCry , som infekterat mer än 250.000 datorer med Windows operativsystem mars 2017 , är också misstänkt för att vara en nordkoreansk hackerattack.

Den 12 augusti 2020 meddelade en talesman för Israels försvarsdepartement att det hade skett en cyberattack mot delar av den israeliska försvarsindustrin i juni 2020. De israeliska myndigheterna överlämnade attacken till Nordkorea. Enligt det privata cybersäkerhetsföretaget Clear Sky, som upptäckte attacken, är sannolikheten mycket stor att angriparna läckte ut en stor mängd sekretessbelagd information. Enligt Clear Sky utfördes attacken av Lazarus -gruppen.

Under Covid-19-pandemin rapporterade bland annat den ryska säkerhetsprogramvarutillverkaren Kaspersky och den sydkoreanska nyhetsbyrån Yonhap var och en oberoende om hackning av skadliga program från Office 121 på minst en SARS-CoV-2-vaccintillverkare , ett hälsoministerium och Europeiska läkemedelsmyndigheten .

Harvard University cybersäkerhetsexpert Priscilla Moriuchi (och tidigare NSA- anställd ) sa att Office 121 attackerade sydkoreanska cyberkommando och spanade på ritningar för McDonnell Douglas F-15: s vingar . Moriuchi rapporterar också om cyberattacker från kontoret i nätverk av bankomater och kassasystem .

Metoder

Tekniska metoder

Nordkoreas attackmetoder är varierande och komplexa. Ofta är målet att generera utländsk valuta, men verktyg används också för att få information och systematiskt förstöra system.

Följande typer av attacker har observerats vid olika incidenter:

  • Ransomware blockerar åtkomst till operativsystemet eller krypterar potentiellt viktiga filer och ber användaren att betala en lösen - vanligtvis via Bitcoin digitala betalningssystem . (Förmodligen typer av ransomware som utvecklats och används av Lazarus inkluderar: Hermes, Ryuk, WannaCry, VHD)
  • Cryptomining / Kryptohijacking (även cryptocurrency mining ) beskriver en teknik där en angripare använder offrens hårdvara och energiresurser obemärkt och utan deras samtycke för beräkningsmässigt intensiv gruvdrift , t.ex. B. via manipulerade webbplatser eller skadlig kod. Kontoret använder främst valutorna Monero och Ethereum .
  • Phishing / Spearfishing: Begreppet phishing är tekniken för att skaffa personuppgifter, till exempel lösenord, för en internetanvändare via falska webbplatser , e-postmeddelanden eller korta meddelanden , och därigenom begå identitetsstöld. Vid spjutfiske koncentrerar sig angriparna på enskilda personer för att på ett målinriktat sätt skaffa specifik information. Komplexa socialtekniker används ofta vid spjutfiske för att manipulera målpersonen. Som en del av en storskalig cyberattack är nätfiske ett viktigt steg för att få tillgång till målsystemen. I " Cyber ​​Kill Chain ", en grundläggande modell för cyberattacker från beväpningsföretaget Lockheed Martin , klassas nätfiske metoder under "Weponization".

Operativa metoder

Enligt resultaten från ett medlemsland i FN skickar Nordkorea utbildad personal utomlands för att utföra cyberattacker därifrån. Det uppskattas att det finns flera hundra nordkoreanska IT -proffs i Europa, Afrika, Asien (Kina och Indien) och Mellanöstern. För att dölja personalens ursprung bildas falska företag vars ledning vanligtvis övertas av en lokal, varvid DRVK betalar dem för att upprätthålla legenderna om de anställda

American Cybersecurity and Infrastructure Security Agency rapporterar att nordkoreanska IT -experter använder sin expertis för att utföra cyberattacker mot tredje part mot en avgift.

Lista över attacker i samband med Nordkorea

Både statliga och privata säkerhetsinstitutioner, inklusive FN , tillskriver Nordkorea ett stort antal cyberattacker. Det bör noteras att tillskrivningen av attacker i cyberrymden med hjälp av ” falska flaggor ” och andra åtgärder som används för att dölja försvårar en exakt tilldelning. Följaktligen bör samlingar av attacker som tillskrivs en aktör ses med försiktighet.

Attacker mot banker

datum platser Detaljer
December 2015 Guatemala Rapporterade stöld på 16 miljoner dollar
December 2015 Vietnam Försök att stjäla mer än 1 miljon euro (1,1 miljoner dollar) genom bedrägliga SWIFT -meddelanden offentliggjordes senare av Tien Phong Bank .
Februari 2016 Bangladesh Försök till stöld av 951 miljoner dollar (81 miljoner dollar fångade)
Maj 2016 Sydafrika / Japan Rapporterade stöld på 18 miljoner dollar från Standard Bank som fick systemet att fungera kort innan pengar togs ut från bankomater i närbutiker i Tokyo och 16 prefekturer över hela Japan med förfalskade kort vars uppgifter stals från kreditkort utfärdade av banken. Ett svar från den japanska regeringen till panelen den 25 juli 2019 sa: "Från och med den 9 juli 2019 hade cirka 260 misstänkta, inklusive medlemmar av den organiserade brottsgruppen, gripits och den totala summan av pengar som olagligt togs ut från bankomater i Japan cirka 1,86 miljarder yen. De misstänkta använde förfalskade kort som innehåller data från cirka 3 000 kundinformation som stulits från Standard Bank i Sydafrika för att ta ut kontanter från cirka 1 700 bankomater i Tokyo och 16 prefekturer i hela Japan. Fallet utreds fortfarande. "
Juli 2016 Indien Försökte stöld av 166 miljoner dollar med hjälp av taktik och tekniker liknande attacken mot Bangladesh Bank i februari 2016. Medel överfördes till Canadia Bank Plc och RHB IndoChina Bank Ltd i Kambodja , Siam Commercial Bank i Thailand , banken Sinopac i den kinesiska provinsen Taiwan och en bank i Australien (förvaltas av Citibank New York och JP Morgan Chase New York ).
Juli 2016 Nigeria Försökte stöld på 100 miljoner dollar
Oktober 2017 Tunisien Försökte stöld på 60 miljoner dollar
Oktober 2017 Taiwan $ 60 miljoner stöld försökt av Far Eastern International Bank ; allt utom 500 000 dollar uttagna från banken
Januari 2018 Mexiko Försökte stöld av 110 miljoner dollar från Bancomext (tros vara 10-15 miljoner plundrade)
Januari 2018 Costa Rica Försökte stöld på 19 miljoner dollar
Februari 2018 Indien City Union Bank försökte stölda 16,8 miljoner dollar med hjälp av tekniker liknande attacken mot Bangladesh Bank i februari 2016.
Mars 2018 Malaysia 390 miljoner dollar stöld som försökte använda falska SWIFT -meddelanden för att försöka göra obehöriga pengaröverföringar
Maj 2018 Chile Stöld av cirka 10 miljoner dollar från Banco de Chile genom obehöriga transaktioner med SWIFT, främst till Hong Kong . Banken, distraherad av hackare, hanterar stöld genom att använda skadlig kod för att inaktivera 9000 datorer som ägs av en bank.
Juni 2018 Liberia 32 miljoner dollar försök till stöld
Augusti 2018 Indien Rapporterade stöld av 13 miljoner amerikanska dollar genom att attackera Cosmos Bank genom samtidiga uttag från bankomater i 23 länder på fem timmar och överföring av 139 miljoner rupier till kontot för ett Hong Kong-baserat företag i tre obehöriga SWIFT-transaktioner. Den 8 oktober 2018 inkluderade USA denna och andra liknande attacker från Nordkorea i sin varning om "FASTCash -kampanjen".
Oktober 2018 Chile Attack mot Redbanc med skadlig kod som kallas POWERRATANKBA. Sofistikerad social engineering via LinkedIn, Skype.
Februari 2019 Malta Försökte stöld på 14,5 miljoner dollar från Bank of Valletta (BOV) den 13 februari. Banköverföringar gjordes till banker i Storbritannien , USA , Tjeckien och Hong Kong, Kina före återkravet . Phishing -aktivitet med samma digitala fingeravtryck har upptäckts sedan oktober 2018
Februari 2019 Spanien Försök till stöld på 10,8 miljoner dollar (tros vara 10-15 miljoner stulna)
Mars 2019 Gambia Försökte stöld på 12,2 miljoner dollar
Mars 2019 Nigeria Försökte stöld på 9,3 miljoner dollar
Mars 2019 Kuwait Försökte stöld på 49 miljoner dollar

Incidenter relaterade till kryptovalutor

datum platser Detaljer
Februari 2017 ROK ( Sydkoreanska armén ) 7 miljoner dollar stals i den första attacken mot Bithumb
April 2017 ROK 4,8 miljoner dollar stöld i första attacken mot Youbit (3618 Bitcoin) kryptovalutaväxlingstjänst
Maj 2017 Sydkorea Den globala WannaCry -attacken resulterade i att Bitcoin tvättades av Monero för $ 144 000 (52 Bitcoin ).
Juli 2017 Sydkorea Mer än 7 miljoner dollar rapporterade stöld i andra attacken mot Bithumb, inklusive: 870 000 dollar i Bitcoin och 7 miljoner dollar i Bitcoin och Ethereum .
Sommaren 2017 ROK 25 000 dollar (70 Monero) från Monero kryptojackning / gruvdrift genom olagligt beslag av en sydkoreansk företags server
September 2017 Sydkorea Stöld av en okänd mängd Bitcoin (möjligen 2,19 miljoner dollar) medan du attackerar mynt. Totalt 6,99 miljoner dollar i förluster rapporterades från detta och Youbit -attacken i april 2017
Maj - september 2017 Sydkorea ROK -polisen rapporterade attacker från tre nordkoreanska aktörer på tre kryptovalutabörser och uppgav att 25 anställda på fyra olika börser hade attackerats i 10 olika "spear phishing" -försök sedan juli 2017
December 2017 Sydkorea Stöld av 17 procent av Youbits tillgångar i den andra attacken mot Youbit. Youbit förklarade senare konkurs till följd av hackning.
December 2017 Slovenien Rapporterade stöld av över 70 miljoner dollar av Bitcoin -gruvföretaget NiceHash, som rapporterade en "mycket professionell, sofistikerad social engineering attack" som stal cirka 63,92 miljoner dollar i Bitcoin.
Juni 2018 Sydkorea Tredje attacken mot Bithumb. Bithumb meddelade i en sedan borttagen tweet att hackare stal cirka 31 miljoner dollar. Intäkterna tvättades genom en separat kryptovalutautbyte som kallas YoBit.
Augusti 2018 Indien Rapporterade stöld på 13 miljoner dollar
Oktober 2018 Bangladesh Försökte stöld på 2,6 miljoner dollar
Mars 2019 Thailand / Singapore / Hong Kong , Kina Rapporterade stöld på 9 miljoner dollar från DragonEx
Mars 2019 Sydkorea Rapporterade stöld av 20 miljoner dollar i fjärde attacken mot Bithumb (3 miljoner EOS och 20 miljoner Ripple -mynt stulna, värda 6 till 13,4 miljoner dollar)
Maj 2019 Sydkorea UpBit attackerade. Inga skador rapporterades.

Åtal

I februari 2021 väckte USA: s justitsdepartement åtal mot tre personer i Office 121, anklagade nordkoreanska underrättelsetjänstemän som FBI ville ha stulit och / eller utpressat mer än 1,3 miljarder dollar från banker och företag runt om i världen att ha.

Individuella bevis

  1. ↑ Cirka 1800 cyberkrigare: Kim föder sin mystiska armé av hackare i "Office 121" . I: Focus Online . 4 december 2014. Hämtad 26 januari 2015.
  2. ↑ a b c I Nordkorea är hackare en handplockad, bortskämd elit . Reuters . 5 december 2014. Hämtad 26 januari 2015.
  3. ↑ Hackade Nordkoreas ökända enhet 121 cyberarmé Sony Pictures? . I: The Guardian . 2 december 2014. Hämtad 26 januari 2015.
  4. ^ John Pike: Nordkoreanska underrättelsetjänster . Federation of American Scientists, Intelligence Resource Program. Hämtad 26 januari 2015.
  5. ↑ a b Förenta staternas försvarsdepartement: Militär- och säkerhetsutveckling som involverar Demokratiska folkrepubliken Korea 2013 . Federation of American Scientists. Hämtad 26 januari 2015. s. 11
  6. ↑ a b Michelle Nichols, Raphael Satter: FN -experter pekar finger mot Nordkorea för 281 miljoner dollar cyberstöld, KuCoin sannolikt offer . I: Reuters . 10 februari 2021 ( reuters.com [ besök 23 februari 2021]).
  7. ↑ a b c d e f g h i j k l Katharina Graça Peters: Nordkorea: Så här använder Kim Jong Un hackare - expertintervju med Priscilla Moriuchi. I: DER SPIEGEL. Hämtad 23 februari 2021 .
  8. ↑ a b c d e Förenta nationernas S / 2019/691 säkerhetsrådets distrikt: Allmänt 30 augusti 2019. Förenta nationen, säkerhetsrådet, 30 augusti 2019, öppnad den 22 september 2020 .
  9. ↑ a b Nordkoreas hackarsmedja inleder en cyberattack . Frankfurter Allgemeine Zeitung . 21 december 2014. Hämtad 26 januari 2015.
  10. ↑ Nordkorea fördubblar sina internetsoldater , Frankfurter Allgemeine Zeitung . 6 januari 2015. Åtkomst 26 januari 2015. 
  11. ↑ Vita huset ser Sony -hack som ett hot mot nationell säkerhet . I: CNN , WWLP 22 News, 19 december 2014. Hämtad 26 januari 2015. 
  12. ↑ Jong In, Lim, Ji Young, Kong, Kyoung Gon, Kim: The All-Purpose Sword: North Korea's Cyber ​​Operations and Strategies. 2019 © NATO CCD COE Publications, Tallinn, 2019, öppnade 22 september 2020 .
  13. ^ Huvudkontor, arméns avdelning: NORTH KOREAN TACTICS. Army Techniques publikation nr. 7-100.2, 24 juni 2020, åtkomst den 22 september 2020 .
  14. ↑ Kaspersky Lab: LAZARUS UNDER HOOD. Kaspersky Lab, åtkomst 22 september 2020 .
  15. ↑ FBI: PARK JIN HYOK. Federal Bureau of Investigation, åtkomst 28 september 2020 .
  16. ↑ a b Jack Cloherty: Sony Hack tros kunna dirigeras genom infekterade datorer utomlands . abc nyheter. 17 december 2014. Hämtad 27 januari 2015.
  17. ↑ David Gilbert, Gareth Platt: John McAfee: "Jag vet vem som hackade Sony Pictures - och det var inte Nordkorea" . International Business Times. 15 januari 2015. Åtkomst 30 januari 2015.
  18. ↑ Fabian A. Scherschel: WannaCry: Sony Pictures Hacker från Nordkorea under misstanke . heise online. Hämtad 18 oktober 2017.
  19. ↑ Ronen Bergman, Nicole Perlroth: Nordkoreansk hackinggrupp attackerar israelisk försvarsindustri. New York Times, 12 augusti 2020, öppnade 28 september 2020 .
  20. ↑ Coronavirus -vaccin: Cyberattack mot vaccindokument från Biontech. I: DER SPIEGEL. Hämtad 23 februari 2021 .
  21. ↑ Nordkorea sägs ha hackat vaccintillverkare. I: DER SPIEGEL. Hämtad 23 februari 2021 .
  22. ↑ Nordkorea: Hackare skulle ha spionerat på koronavaccin från Biontech / Pfizer. I: DER SPIEGEL. Hämtad 23 februari 2021 .
  23. ↑ Alexander Hanel: Big Game Hunting with Ryuk: Another Lucrative Targeted Ransomware. Crowdstrike, 10 januari 2019, öppnade den 22 september 2020 .
  24. ^ Michelle Nichols, Raphael Satter: FN -experter pekar finger mot Nordkorea för 281 miljoner dollar cyberstöld, KuCoin sannolikt offer . I: Reuters . 10 februari 2021 ( reuters.com [ besök 23 februari 2021]).
  25. ↑ Lockheed Martin: Cyber ​​Kill Chain. Lockheed Martin, åtkomst 26 september 2020 .
  26. ^ M.Grappe, D.Pasinetti, C.Barreyere, M. Cellard: Nordkorea: Kims män | ARTE -rapport. I: ARTE. 30 maj 2018, åtkomst 26 september 2020 .
  27. ^ CISA: Vägledning om det nordkoreanska cyberhotet. CISA, 15 april 2020, öppnade 28 september 2020 .
  28. ↑ ADMIN CONCORDIA: Falska flaggor i Cyber ​​Threat Intelligence Operations. CONCORDIA, 13 augusti 2020, öppnad den 26 september 2020 .
  29. ^ Tre nordkoreanska militära hackare åtalas i ett omfattande system för att begå cyberattacker och finansiella brott över hela världen. 17 februari 2021, åtkomst 23 februari 2021 .
  30. ↑ Max Muth: Nordkoreas hackare Lazarus: USA anklagar "världens bästa bankrånare". Hämtad 25 februari 2021 .