In einer gemeinsamen Sicherheitswarnung haben mehrere südkoreanische Behörden und IT-Sicherheitsunternehmen vor einer weitreichenden Cyberkampagne gewarnt, bei der eine obligatorische Finanzsicherheitssoftware als Einfallstor genutzt wird. Staatlich gestützte Hacker haben die Anwendung AnySign4PC gezielt manipuliert, um Zero-Day-Angriffe gegen zahlreiche Organisationen durchzuführen.
An der Veröffentlichung des Sicherheitshinweises sind unter anderem der Nationale Geheimdienst (NIS), die Nationale Polizeibehörde (NPA), die Korea Internet & Security Agency (KISA) sowie das Financial Security Institute (FSI) beteiligt. Auch private Sicherheitsfirmen wie AhnLab, S2W, ENKI WhiteHat und Plainbit stützen die Erkenntnisse. Im Fokus stehen die Versionen 1.1.4.4 bis 1.1.4.6 der Software AnySign4PC. Die Angreifer nutzen demnach einen Pufferüberlauf (Buffer Overflow) aus, um die Anwendung als Angriffsfläche zu operationalisieren.
Technische Details der Exploit-Kette
Die IT-Experten beschreiben das Vorgehen als eine komplexe Exploit-Kette. Dabei werden WebSockets und vier speziell präparierte PNG-Bilddateien eingesetzt, um den Pufferüberlauf zu provozieren. In der Folge injizieren die Angreifer eine Backdoor-DLL-Datei in legitime Systemprozesse wie SyncHost.exe oder svchost.exe.
Immer mehr Unternehmen werden Opfer von Cyberangriffen – diese Checkliste hilft Ihnen, es zu verhindern. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. IT-Sicherheits-Checkliste jetzt kostenlos herunterladen
Durch diese Methode gelang es den Akteuren, in den Jahren 2025 und 2026 insgesamt 72 Organisationen anzugreifen. Die Kampagne, die von AhnLab als „Operation Double Barrel“ bezeichnet wird, nutzt zudem 15 kompromittierte südkoreanische Websites als sogenannte „Watering Holes“. Diese Webseiten aus den Bereichen Nachrichten, Gesundheitswesen, Bildung und Fertigung wurden manipuliert, um Besucher gezielt zu infizieren.
Zuweisung zur Lazarus-Gruppe
Die Sicherheitsbehörden schreiben die Angriffe der nordkoreanischen Lazarus-Gruppe zu. Im Zuge der Untersuchungen wurden die Backdoors SIGNBT 3.0 (auch als Struggle bezeichnet) und COPPERHEDGE (Brandoor) identifiziert. Diese Schadprogramme verfügen über weitreichende Funktionen: Sie können Browser-Anmeldedaten, Dokumente, Fotos, Kontakte und Konversationen aus Messengerdiensten stehlen. Zudem ist die Malware in der Lage, sich innerhalb desselben Netzwerks auf andere Computer auszubreiten.
Ein wesentliches Merkmal der Kampagne ist die Verbindung zu anderen Cyberstraftaten. Laut dem gemeinsamen Hinweis nutzt auch die Gunra-Ransomware dieselbe Sicherheitslücke sowie identische Malware-Dateinamen, SSH-Schlüssel-Fingerabdrücke und Befehlsserver (C2-Server). Dies unterstreicht die systematische Ausnutzung der Schwachstelle durch staatliche Akteure.
Zusätzliche Angriffsvektoren und Schutzmaßnahmen
Neben der technischen Ausnutzung der Software setzen die Hintermänner auf klassisches Spear-Phishing. In einem dokumentierten Fall wurde ein Verteidigungsunternehmen mit einer vermeintlichen Umfrage zu GaN-Halbleitern (Galliumnitrid) ins Visier genommen. Die Ermittler gehen zudem davon aus, dass die Angreifer möglicherweise zuerst einen Hosting-Anbieter kompromittierten, um ihre Infrastruktur für die weiteren Attacken aufzubauen.
CEO-Fraud und Spear-Phishing: Warum selbst erfahrene Mitarbeiter auf gefälschte E-Mails hereinfallen. Ein kostenloser Report zeigt, welche psychologischen Tricks Hacker gezielt einsetzen und wie Sie Ihr Unternehmen in 4 Schritten schützen. Anti-Phishing-Paket für Unternehmen gratis sichern
Obwohl die Sicherheitslücke bereits aktiv für Angriffe genutzt wurde, war bis Ende Juli 2026 noch keine offizielle CVE-Nummer zugewiesen. Die Behörde KISA hat jedoch bereits reagiert und die Patch-Version 1.1.5.0 veröffentlicht, die die Schwachstelle schließt.
Die beteiligten Organisationen raten dringend dazu, die Software umgehend zu aktualisieren. Zudem wird empfohlen, die Zwei-Faktor-Authentifizierung (2FA) flächendeckend zu aktivieren und bei Links oder Dateianhängen von unbekannten Absendern äußerste Vorsicht walten zu lassen. Da AnySign4PC in Südkorea für viele Finanztransaktionen obligatorisch ist, hat die Schwachstelle eine besondere Relevanz für die nationale IT-Sicherheit.
