UKRAINE / LONDON (IT BOLTWISE) – Eine neue Cyberattacke namens GhostShell zielt laut Sicherheitsrecherchen auf den Drohnensektor in der Ukraine. Der Angriff setzt auf einen präparierten Archiv-„Lockvogel“, der nach dem Öffnen Code in den Windows-Startup-Ordner einschleust. Im Hintergrund werden anschließend über mehrere Stufen Systeme ausspioniert und Daten abgegriffen, darunter Passwörter, Browserhistorie sowie Wallet-Informationen. Besonders brisant: Die Betreiber versuchen, ihre Spuren durch scheinbar harmlose, ukrainisch beschriftete PDFs und eine reale Markenanmutung zu verwischen.
Eine neue Kampagne der GhostShell-Gruppe zeigt, wie schnell sich die Cyberabwehr im Umfeld moderner Drohnentechnik weiterentwickeln muss. Laut Analysen von Synaptic Systems steht dabei nicht nur die IT-Infrastruktur ukrainischer Organisationen im Fokus, sondern auch Schnittstellen wie Lieferketten und ehrenamtliche Strukturen, die im Krisenbetrieb häufig zusätzliche Software- und Dokumentenflüsse abwickeln. Die Aktivität der Gruppe wird auf spätestens Februar 2026 datiert; als Tracking-Label nennen die Forschenden „MB-0009“. Damit reiht sich GhostShell in eine Reihe aktueller Operationen ein, die mit gestuften Payloads arbeiten und sich an realen Themenfeldern orientieren, um auf niedriger Sicherheitsbasis Vertrauen zu schaffen.
Technisch startet der Angriff mit einem Trick, der auf „Decoy Documents“ setzt: Den Opfern wird ein vermeintlich relevantes Archiv untergeschoben, hier als „Besomar_documentation.rar“ bezeichnet. Sobald das komprimierte Paket geöffnet wird, kopiert eine versteckte Komponente einen Script-Ablauf in den Windows-Startup-Ordner. Diese Platzierung ist ein klassischer Persistenzhebel, weil der Schadcode damit bei jedem Systemstart erneut ausgeführt wird. Gleichzeitig werden dem Ziel oberflächlich PDF-Dokumente präsentiert, die wie legitime Unterlagen wirken. In der Beschreibung werden dafür ukrainische Texte und Überschriften zu Drohnenkonfigurationen und Lade-/Charging-Stationen genutzt, um den Benutzer in einer vertrauten Rolle zu halten.
Der zweite Hebel erfolgt, sobald die Lockvogel-Schicht „ausgelöst“ wurde. Laut Synaptic Systems kontaktiert das Script eine Website („cloudaxiscc“), um weitere Schadprogramme nachzuladen. Im beobachteten Setup werden drei Dateien konkret verknüpft: „122.exe“, „22.exe“ und „update.exe“. Damit folgt die Kampagne einem modularen Muster: Erst Persistenz und Täuschung, dann Beikopplung zusätzlicher Funktionen. Auffällig ist die Kombination aus klassischem „Downloader“-Verhalten und späteren Datendiebstahl-Komponenten. Solche Ketten erhöhen die Überlebensfähigkeit, weil einzelne Teile bei Entdeckung leichter ausgetauscht oder angepasst werden können. Auch die Verwendung eindeutiger digitaler Fingerprints im Report unterstreicht, dass es sich um wiedererkennbare Artefakte und nicht nur um eine einmalige Kampagne handelt.
Für die Spionage-Komponente wird „122.exe“ als Kernstück beschrieben: Sie agiert demnach als Spy-Programm, nimmt Screenshots des Desktops auf, sammelt Rechnernamen und übermittelt die Informationen an einen Server namens „cdnexpress.cc“. Ergänzend versteckt sich „update.exe“ als angeblicher offizieller Windows-Sicherheitsdienst. Solche Tarnungen zielen darauf ab, dass Nutzer und Administratoren beim Durchsehen von Prozessen oder Dateien weniger verdächtige Labels sehen. Im Bericht wird außerdem erwähnt, dass die Komponente über eine Telegram-bezogene Seite ihren Command-and-Control-Server ermittelt. Parallel dazu liefert „22.exe“ die Brücke zum Datendiebstahl über ein bekanntes Stealer-Setup namens „Vidar v2“. Ab dem Zeitpunkt wird es für betroffene Systeme besonders kritisch: Gesammelt werden gespeicherte Internetpasswörter, Browserhistorien und Informationen aus Kryptowährungs-Wallets, was je nach Umgebungsgröße schnell zu Folgeschäden führen kann.
Ein wichtiger Punkt in der Bewertung ist die Zurückhaltung bei politischen Zuschreibungen. Synaptic Systems beschreibt, dass die Kampagne zwar auf ukrainische Verteidigungsnetzwerke abzielt, aber aufgrund einer „eingeschränkten Attribution“ vorsichtig mit der Benennung eines Ursprungslands sein müsse. Genau dafür wird die SOLBIT-Methode genannt: Sie bewertet Indikatoren, die zwar Hinweise auf Taktik, Timing und Technik geben, aber nicht zwingend auf einen konkreten Staat schließen lassen. Oberflächliche Merkmale wie Sprache oder lokal wirkende Dokumenttitel seien für Angreifer leicht nachzustellen. Wie ein Malware-Analyst im Umfeld der Untersuchung sinngemäß betonte, ist „lokale Plausibilität“ kein Beweis für lokale Urheberschaft, sondern oft nur Bestandteil einer Täuschungsstrategie.
Für die Markt- und Sicherheitslandschaft ist GhostShell ein weiteres Signal, dass der Schutz im Drohnen-Ökosystem nicht bei der „letzten Meile“ endet. Gerade Zulieferer, Werkstätten, Testteams und Freiwilligenstrukturen verfügen häufig über heterogene Endpunkte, die im Krisenbetrieb schnell ans Netzwerk angebunden werden. Die Angriffskette zeigt außerdem, wie effizient gängige Windows-Persistenzmechanismen wie Startup-Ordner ausgenutzt werden können und wie schnell daraus ein vollständiger Datendiebstahl entsteht, sobald eine Stealer-Payload nachgeladen ist. Unternehmen können sich daran messen lassen, wie sie Archiv-Payloads, Makro- und Script-Ausführung sowie ungewöhnliche Kommunikationsmuster mit C2-Infrastrukturen erkennen. Im Vergleich zu früheren Kampagnen, die oft stärker auf Phishing-E-Mails als Einstieg setzten, wirkt GhostShell stärker auf „dokumentbasierten Kontext“ und damit auf Relevanz im Zielumfeld getrimmt.
Der Ausblick hängt davon ab, ob GhostShell im nächsten Schritt weitere Payload-Varianten nachschiebt oder neue „Decoy“-Themenfelder ausprobiert. Für Verteidigungs- und Enterprise-IT heißt das vor allem: Monitoring muss nicht nur Endpunktartefakte erfassen, sondern auch den Kommunikationspfad zwischen Loader, nachgeladener Komponente und Datenabfluss. Zusätzlich gewinnt die Segmentierung von Netzwerken an Bedeutung, weil Persistenz heute oft genügt, um späteren Zugriff auf weitere Systeme zu ermöglichen. Regulierung und Datenschutz spielen ebenfalls hinein: Beim Abgriff von Passwörtern und Browserdaten werden schnell personenbezogene Daten tangiert, sodass Vorfälle nach einschlägigen Melde- und Schutzpflichten behandelt werden müssen. Wer die Analyse ernst nimmt, sollte als Nächstes die Exposition von Archiv-Downloads, Startup-Abläufen und Datenexfiltrationspfaden systematisch testen und mit Threat-Hunting-Hypothesen auf Basis der beobachteten Dateinamen und C2-Muster arbeiten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "GhostShell: Neue Malware-Kampagne richtet sich gegen Ukraines Drohnenabwehr" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "GhostShell: Neue Malware-Kampagne richtet sich gegen Ukraines Drohnenabwehr" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »GhostShell: Neue Malware-Kampagne richtet sich gegen Ukraines Drohnenabwehr« bei Google Deutschland suchen, bei Bing oder Google News!