Büro 121 ist der Name einer Unterabteilung des nordkoreanischen Geheimdienstes Generalbüro für Aufklärung, die unter dem auch in Nordkorea bekannten Begriff „Geheimer Krieg“ den Cyberkrieg betreibt. Die 1998 gegründete Behörde ist Teil des „Amtes für Allgemeine Aufklärung“, einer Spionageabteilung des Militärs, deren Schwerpunkt versteckte Aktionen im In- und Ausland sind.
Das Büro ist nach Einschätzung der Vereinten Nationen (UN) verantwortlich für digitale Banküberfälle mit Schäden in Milliardenhöhe.
Zielsetzung und Berichte der Vereinten Nationen (UN) Nach Analysen des US-amerikanischen Verteidigungsministeriums führt Nordkorea offensive Operationen im Cyberspace durch. Sie werden als wirksame und kostengünstige Methode angesehen, um eine mögliche Unterlegenheit in klassischen militärischen Bereichen auszugleichen. Die Aktionen richten sich vor allem gegen Südkorea, sie sollen dort öffentliche Störungen verursachen. Außerdem will man Zugang zu geheimen Informationen erhalten. Das Verteidigungsministerium der Vereinigten Staaten beobachtet seit 2009 mehrere Cyberattacken, bei denen Nordkorea als Verursacher vermutet wird. S. 11.
Im August 2019 veröffentlichte der Sicherheitsrat der Vereinten Nationen einen Bericht, der den nordkoreanischen Staat in einer Vielzahl von Cyberangriffen als Verantwortlichen nennt und die Behauptung aufstellt, dass Nordkorea in den letzten Jahren signifikante Geldmittel durch räuberische Handlungen im Cyberspace gewinnen konnte, die maßgeblich in die Finanzierung des nationalen Kernwaffenprogramms fließen. Die Operationen sollen dabei in erster Linie vom Büro 121 geführt worden sein. Als Gegenreaktion auf die nukleare Aufrüstung der Demokratischen Volksrepublik Korea verhängte der Sicherheitsrat der Vereinten Nationen, beginnend mit den Resolutionen Nr. 1718 (2006) und Nr. 1695 (2006), verschiedene Sanktionsmaßnahmen gegen das totalitäre Regime. Diese führten dazu, dass der Staat stark in seiner wirtschaftlichen Handelsfreiheit eingeschränkt wurde, doch trotz zahlreicher Embargos auf militärische sowie wirtschaftliche Güter gelang es Nordkorea weiterhin, das umstrittene Kernwaffenprogramm zu unterhalten und fortzuentwickeln. Die Vereinten Nationen sehen die nordkoreanischen Cyber-Operationen als eine der primären Finanzierungsquellen des staatlichen Kernwaffenprogramms. Die Vereinten Nationen gehen davon aus, dass Nordkorea schätzungsweise zwei Milliarden US-Dollar in den letzten Jahren des 2010er Jahrzehnts bis November 2020 durch Cyberangriffe erbeuten konnte. Im Jahr 2023 konkretisierte die UN, dass Nordkorea von 2017 bis einschließlich 2022 insgesamt 1,2 Milliarden US-Dollar zur Finanzierung des Kernwaffenprogramms durch Cyberkriminalität erbeutete.
Struktur und Organisation Nach einem Bericht der Nachrichtenagentur Reuters im Jahr 2014 arbeiten in dem Büro die begabtesten Computerexperten des Landes. Ein übergelaufener Spion hatte im selben Jahr berichtet, dass in dem Büro rund 1.800 Fachleute beschäftigt seien. Im Januar 2015 wurde bekannt, dass die Mitarbeiterzahl des Büros bis Jahresende auf über 6.000 aufgestockt werden soll. Die Schätzungen liegen (Stand 2021) höher: bei zwischen 3.000 und 10.000 staatlich angestellten nordkoreanischen Hackern. Viele der Hacker sind Absolventen der Fakultät für Automation der Kim-Il-sung-Universität in Pjöngjang. Neue Mitarbeiter unterliegen einer strengen Auslese und werden teilweise bereits im Alter von 17 Jahren rekrutiert. Die Mitarbeiter des Büros gehören zu den bestbezahlten Personen im Staat. Getarnt als Angestellte von nordkoreanischen Handelshäusern sind sie teilweise auch im Ausland stationiert, während ihre zuhause gebliebenen Familien zahlreiche Privilegien genießen.
Das Büro 121 ist eine Unterabteilung des Generalbüro für Aufklärung und setzt sich Stand 2019, aus folgenden Einheiten zusammen:
Lab 110 Office 98 Office 414 Office 35 Unit 180 Unit 91 128 Liaison Office 413 Liaison Office
Einem Bericht des US-amerikanischen Verteidigungsministeriums zufolge besteht die Abteilung aus über 6000 Mitarbeitern, dabei sind vier operative Einheiten dem Büro 121 unterstellt, die wie folgt beschrieben werden:
Andarial Das US-Militär schätzt die Größe der Andarial-Gruppe auf ca. 1600 Mitglieder. Die Aufgabe der Einheit ist es, primär feindliche Computersysteme auszuspähen und potenzielle Schwachstellen für zukünftige Angriffe zu detektieren.
Bluenoroff Laut Schätzungen des US-Militärs beläuft sich die Größe der Bluenoroff-Gruppe auf rund 1700 Mitglieder. Die Gruppierung ist für die Beschaffung von Geldmitteln zuständig, die in die Finanzierung des nordkoreanischen Staates fließen. Im Rahmen dieser Beschaffungsmaßnahmen werden Taktiken und Methoden aus dem Bereich der Computerkriminalität angewandt.
Electronic Warfare Jamming Regiment Das US-Militär geht davon aus, dass dem Büro 121 ein Electronic Warfare Jamming Regiment unterstellt ist. Das Regiment mit Hauptsitz in Pjöngjang soll aus drei Bataillonen bestehen, die im Bereich der elektronischen Kriegsführung geschult sind. Die Bataillone befinden sich laut US-Angaben mit hoher Wahrscheinlichkeit in Kaesong, Haeja, und Kumgang. Das Electronic Warfare Jamming Regiment soll Berichten zufolge für elektronische Gegenmaßnahmen im VHF-/UHF-Bereich zuständig sein. Dabei wird auf russische Störtechnik zurückgegriffen, um gegnerische Signale aus dem gesamten Bereich von ca. 48 bis 97 Kilometern des relevanten elektromagnetischen Spektrums zu stören.
Lazarus Lazarus ist eine APT-Gruppierung, die bereits in der Vergangenheit wiederholt mit der DVRK in Verbindung gebracht wurde. Das US-Militär beschreibt Lazarus’ Vorgehen wie folgt: Aufgabe der Gruppe ist es, soziales Chaos zu stiften, indem Schwachstellen feindlicher Netzwerke erkannt und wenn angeordnet ausgenutzt werden. Die Gruppierung speist Malware in das feindliche Netzwerk ein und aktiviert diese zu einem taktisch vorteilhaften Zeitpunkt, hierbei können mehrere Monate vergehen. In den meisten Fällen führt die Aktivierung der Malware zu einer Störung oder einer endgültigen Zerstörung der infizierten Systeme. Das US-Militär schreibt Lazarus die WannaCry-Angriffsserie aus den Jahren 2016/17 zu. Mitglied der Lazarus-Gruppe soll Jin Hyok Park sein, ein nordkoreanischer Staatsbürger, der vom FBI gesucht wird. Park soll unter anderem am Angriff auf Sony Pictures beteiligt gewesen sein.
Die einzelnen Gruppierungen bestehen vermutlich aus weiteren Subgruppen, die unter verschiedenen Pseudonymen agieren.
Aktivitäten und Methoden
Im Jahr 2013 war Südkorea Ziel einer größeren Cyberattacke, bei der über 30.000 PCs gehackt wurden. Zielscheibe waren vor allem Banken, Medienunternehmen und Behörden sowie der Dienstsitz des Präsidenten. US-amerikanische Behörden gehen davon aus, dass die Urheberschaft von Nordkorea ausging. Es wird auch vermutet, dass Nordkorea im selben Jahr ein bösartiges Virus in tausenden von Smartphones in Südkorea verbreitet hat.
Die Weltöffentlichkeit wurde im Dezember 2014 auf die offensiven Cyberaktivitäten Nordkoreas aufmerksam, als Sony Pictures den Kinostart des Films The Interview in den USA vorübergehend stoppte, in dem der nordkoreanische Staatschef Kim Jong-un parodiert wird. Die Computer von Sony Pictures waren zuvor Ziel eines Hackerangriffs, bei dem interne Daten einschließlich vertraulicher Personaldaten gestohlen wurden. Die Hacker hinterließen außerdem Drohnachrichten auf den Systemen. US-amerikanische Sicherheitsexperten vermuten, dass das Büro 121 den Hackerangriff durchgeführt hat. Ein Sprecher im nordkoreanischen Fernsehen erklärte jedoch, dass sein Land nicht für den Hackerangriff verantwortlich sei. Gleichwohl würdigte der Sprecher den Angriff als eine gerechte Tat. Allerdings erklärte John McAfee, der Begründer des Computersicherheitsunternehmens McAfee, in einem Interview mit der International Business Times, dass er Kontakt zu den Hackern der Attacke auf Sony habe, deren Namen kenne und garantieren könne, dass Nordkorea nicht für den Hacker-Angriff auf Sony Pictures Entertainment verantwortlich sei.
Bei dem Schadprogramm WannaCry, das im März 2017 über 250.000 Rechner mit Windows-Betriebssystem infiziert hat, wird ebenfalls vermutet, dass es sich um einen nordkoreanischen Hacker-Angriff handelt.
Am 12. August 2020 wurde durch einen Sprecher des israelischen Verteidigungsministeriums bekannt gegeben, dass es im Juni 2020 einen Cyberangriff auf Teile der israelischen Rüstungsindustrie gab. Die israelischen Behörden ordneten den Angriff Nordkorea zu. Laut dem privaten Cyber-Sicherheitsunternehmen Clear Sky, das den Angriff detektierte, ist die Wahrscheinlichkeit sehr hoch, dass durch die Angreifer größere Mengen an klassifizierten Informationen abgeflossen seien. Laut Clear Sky wurde der Angriff von der Lazarus-Gruppierung ausgeführt.
Während der Covid-19-Pandemie berichtete unter anderem der russische Sicherheitssoftware-Hersteller Kaspersky und die südkoreanische Nachrichtenagentur Yonhap jeweils unabhängig voneinander von Malware-Hackerangriffen des Büros 121 auf mindestens einen SARS-CoV-2-Impfstoff-Hersteller, ein Gesundheitsministerium und die Europäische Arzneimittel-Agentur.
Laut Priscilla Moriuchi, Expertin für Cybersicherheit der Harvard-Universität (und ehemaligen Mitarbeiterin der NSA) hat das Büro 121 das südkoreanische Cyberkommando angegriffen und Blaupausen für die Flügel von McDonnell Douglas F-15 ausspioniert. Moriuchi berichtet außerdem von Cyberangriffen des Büros auf Netzwerke von Geldautomaten und Kassenbezahlsystemen.
Im Jahr 2022 und 2023 hat das Büro 121 mehrere Angriffe gegen Kryptoanbieter unternommen, so gegen NFT Spiele, Crypto Tauschbörsen oder Walletanbieter. Dabei erbeuteten die Cracker in einem Zeitraum von etwa zwei Jahren mehr als eine Milliarde US-Dollar an Kryptowährungen.
Methoden Technische Methoden Die Angriffsmethoden Nordkoreas sind vielseitig und komplex. Oftmals ist das Ziel die Generierung von Devisen, jedoch werden auch Werkzeuge zur Informationsgewinnung und gezielten Zerstörung von Systemen eingesetzt.
Folgende Angriffsarten sind bei verschiedenen Vorfällen beobachten worden:
Ransomware blockiert den Zugriff auf das Betriebssystem bzw. verschlüsselt potenziell wichtige Dateien und fordert den Benutzer zur Zahlung von Lösegeld auf – meist über das digitale Bezahlsystem Bitcoin. (Vermutlich von Lazarus entwickelte und eingesetzte Ransomwarearten sind unter anderem: Hermes, Ryuk, WannaCry, VHD) Kryptomining/Kryptohijacking (auch Cryptocurrency mining) bezeichnet eine Technik, bei der ein Angreifer die Hardware- und Energieressourcen von Opfern unbemerkt und ohne deren Zustimmung zum rechenintensiven Mining verwendet werden, z. B. über manipulierte Webseiten oder durch Schadsoftware. Das Büro nutzt hauptsächlich die Währungen Monero und Ethereum. Phishing/Spearfishing: Unter dem Begriff Phishing versteht man die Technik, über gefälschte Webseiten, E-Mails oder Kurznachrichten an persönliche Daten, z. B. Passwörter, eines Internet-Benutzers zu gelangen und damit Identitätsdiebstahl zu begehen. Beim Spearfishing konzentrieren die Angreifer sich dabei auf einzelne Personen, um zielgerichtet bestimmte Informationen zu akquirieren. Oftmals werden beim Spearfishing komplexe Social-Engineering-Taktiken angewandt, um die Zielperson zu manipulieren. Im Rahmen eines groß angelegten Cyberangriffs ist die Praxis des Phishings ein essenzieller Schritt, um sich Zugriff auf die Zielsysteme zu verschaffen. In der „Cyber Kill Chain“, einem Basismodell für Cyberangriffe des Rüstungsunternehmens Lockheed Martin, werden Phishingmethoden unter dem Punkt „Weaponization“ eingeordnet.
Operative Methoden