Kimsuky: HTTPSpy, HelloDoor & VS Code Tunnels in Südkorea

Nordkoreas Hackergruppe Kimsuky greift mit HTTPSpy, HelloDoor und VS Code Tunnels südkoreanische Militär- und Unternehmensziele an. Eine Analyse der neu…

Eine neue Welle von Angriffen

Im März und April 2026 hat die nordkoreanische Hackergruppe Kimsuky, auch bekannt als Velvet Chollima, eine Serie von Cyberangriffen auf südkoreanische Militär- und Unternehmenseinrichtungen durchgeführt. Die Angreifer setzten dabei eine Reihe neuer Werkzeuge ein: HTTPSpy, HelloDoor und VS Code Tunnels. Das Ziel: sensible Daten stehlen und Netzwerke infiltrieren.

Was macht diese Kampagne so besonders? Es ist die Kombination aus altbewährten Social-Engineering-Methoden und moderner Technik. Kimsuky fälschte Sicherheitssoftware-Installationsseiten und erstellte eine gefälschte Webex-Meeting-Seite, um Opfer zu ködern. Einmal hereingefallen, installierte die Gruppe Hintertüren und Spionagesoftware.

HTTPSpy: Der unsichtbare Lauscher

HTTPSpy ist ein Tool, das den HTTPS-Verkehr abfängt und entschlüsselt. Damit können die Angreifer mitlesen, was ihre Opfer im Browser eingeben – Passwörter, Bankdaten, vertrauliche Nachrichten. Das Besondere: HTTPSpy tarnt sich als legitime Erweiterung oder Update. Sie ahnen nichts davon.

Für Sie als südkoreanischen Bürger oder Unternehmer bedeutet das: Selbst verschlüsselte Verbindungen sind nicht sicher, wenn der Angreifer erst einmal im System ist. Die Gruppe nutzt auch HelloDoor, eine Hintertür, die über gefälschte Installationsprogramme verbreitet wird. HelloDoor öffnet einen permanenten Zugang zum Rechner des Opfers.

VS Code Tunnels: Der unerwartete Einfallstor

Eine besonders clevere Methode: Kimsuky nutzt VS Code Tunnels. Visual Studio Code, ein weit verbreiteter Code-Editor von Microsoft, erlaubt es, über Tunnel Verbindungen zu entfernten Rechnern herzustellen. Die Hacker missbrauchen diese Funktion, um eine stabile, schwer erkennbare Verbindung zu einem kompromittierten System aufzubauen. Der Tunnel tarnt sich als normale Entwickleraktivität – kaum ein Netzwerk-Schutzsystem erkennt das.

Die Taktik zeigt: Kimsuky passt sich an. Sie nutzen nicht nur eigene Malware, sondern auch legitime Funktionen von Software, die auf fast jedem Rechner installiert ist. Das macht die Erkennung so schwierig.

Eine Frage der Abwehr

Was können Sie tun? Überprüfen Sie Ihre Systeme auf ungewöhnliche VS Code-Instanzen oder Tunnelverbindungen. Achten Sie auf unerwartete Pop-ups, die nach Updates fragen – besonders wenn sie von Sicherheitssoftware oder Besprechungsplattformen kommen. Schulen Sie Ihre Mitarbeiter im Umgang mit Social Engineering. Die Daten zeigen: Kimsuky zielt gezielt auf Personen mit Zugang zu sensiblen Informationen ab.

Die größere Bedrohung

Diese Angriffe sind kein Einzelfall. Nordkorea hat seine Cyberkapazitäten in den letzten Jahren massiv ausgebaut. Die Gruppe Kimsuky operiert seit mindestens 2012 und hat Verbindungen zu nordkoreanischen Geheimdiensten. Ihr Ziel ist nicht nur Spionage, sondern auch Geldbeschaffung – etwa durch Kryptowährungsdiebstahl.

Die südkoreanische Regierung hat reagiert: Das nationale Cyber-Sicherheitszentrum warnt vor den neuen Taktiken und empfiehlt verstärkte Überwachung. Doch die Angreifer sind flexibel. Sie ändern ihre Methoden ständig. Was heute funktioniert, kann morgen schon veraltet sein.

Eine Sache ist sicher: Kimsuky wird weitermachen. Microsoft hat die Angriffe analysiert und bestätigt die Verbindung zu nordkoreanischen Akteuren. Bleiben Sie wachsam.