LONDON (IT BOLTWISE) – Drei getrennt verfolgte Bedrohungscluster zielen laut einem Bericht auf russische Unternehmensumgebungen. NightEagle nutzt kompromittierte VPN-Zugänge und verschaltet sich anschließend in Microsoft Exchange und Active Directory. Hacking Cat wechselt von reinen Angriffen auf Verschlüsselung und zerstörerische Payloads, darunter Gorilla RAT und mehrere Monkey-Varianten. Toy Ghouls setzt erstmals auf eine eigene, maßgeschneiderte Rücktür über WinRM, MQTT und Matrix.
Russische Unternehmen rücken erneut ins Visier mehrerer Akteure, die in der Sicherheitsforschung als eigenständige Cluster beschrieben werden: NightEagle, Hacking Cat und Toy Ghouls. Laut einer Auswertung eines großen IT-Sicherheitsanbieters lassen sich die Aktivitäten dabei nicht nur an Malware-Typen unterscheiden, sondern auch an den jeweils bevorzugten Angriffswegen. NightEagle wird unter anderem mit dem Ausbau von Persistenz und lateraler Bewegung in Unternehmensnetzen in Verbindung gebracht, während Hacking Cat inzwischen mehrheitlich auf Verschlüsselung und Zerstörung statt auf klassische Webseitenmanipulation fokussiert. Toy Ghouls wiederum verlagert seinen Fokus spürbar hin zu einer selbst entwickelten Backdoor, die unkonventionelle Kommunikationskanäle für Command-and-Control nutzt.
Bei NightEagle stehen die Einstiegspunkte und die frühe Koordination im Netzwerk im Vordergrund. Häufig, so die Analyse, nutzen Angreifer kompromittierte gültige Zugangsdaten, um in Corporate-VPNs einzudringen. Die VPN-Verbindungen sollen dabei von IP-Adressen ausgehen, die im russischen Adressraum mit Cloudflare-WARP-Tunneln verknüpft sind, aber auch von Adressen, die zu europäischen Anbietern für virtuelle Infrastruktur gehören. Sobald die Angreifer Zugang haben, kommt GhostContainer ins Spiel: Das modulare Rücktür-Framework wird als Mittel beschrieben, um vollständigen Zugriff auf einen kompromittierten Microsoft-Exchange-Server zu erlangen, beliebigen Code auszuführen, Dateifunktionen zu nutzen und zusätzliche Module nachzuladen. Um der Entdeckung zu entgehen, maskiert sich die Malware als gängige Serverkomponente; außerdem kann sie als Traffic-Redirect oder Tunnel fungieren, um interne Wege zu öffnen.
Technisch wird NightEagle in der Meldung außerdem über seine Bauweise greifbar: GhostContainer soll Komponenten aus mehreren Open-Source-Projekten integrieren, darunter der Neo-reGeorg-Tunnel, ein Exploit für die Schwachstelle CVE-2020-0688 sowie die GhostWebShell-Klasse aus der ysoserial-Utility. Diese Bausteine seien öffentlich verfügbar, was die Nachvollziehbarkeit einzelner Techniken erhöht, aber auch das Risikoprofil für betroffene Umgebungen verschärft: Wenn mehrere Tools und Schwachstellenketten kombiniert werden, können Security-Teams nur schwer anhand eines einzelnen Indikators reagieren. Für die Zustellung von GhostContainer an Microsoft-Exchange-Systeme bleibt der genaue Mechanismus in der Auswertung offen; als plausibles Szenario wird beschrieben, dass Kryptoschlüssel aus der ASP.NET-Konfiguration extrahiert werden, anschließend der VIEWSTATE-Parameter überschrieben und ein Payload in diesen Kontext injiziert wird, sodass die Backdoor im Speicher startet. Für die laterale Bewegung sollen die Angreifer zudem Tunneling-Tools herunterladen, um Netzwerkverkehr über RDP umzuleiten, unter anderem via Microsoft-dev-tunnels und rdp2tcp.
Parallel dazu wird in der Auswertung betont, dass NightEagle im Active-Directory-Umfeld gezielt Rechte eskaliert und sich intern weiter vorarbeitet. Dabei werden mehrere Schwachstellen als Hebel genannt, darunter CVE-2019-0708 (BlueKeep), um lokal einen Account anzulegen und diesen in Administratoren- sowie Remote-Desktop-User-Gruppen einzutragen. Zusätzlich wird ein DCSync-Angriff erwähnt, der darauf abzielen soll, den Domain Controller zu imitieren. Das Endziel beschreibt die Analyse als Aufbau dauerhafter Präsenz in der Zielinfrastruktur, das Erbeuten von Kennwort-Hashes für Domänenkonten, das Nutzen langlebiger Kerberos-Tickets für legitime Zugriffe auf Ressourcen sowie schließlich das Durchbrechen der Domain-Controller und der gesamten Active-Directory-Landschaft.
Während NightEagle stärker auf Enterprise-Infrastruktur und Protokollketten setzt, zeigt Hacking Cat einen strategischen Wechsel hin zu echter Schadenslogik. Die Gruppe wird als pro-ukrainischer Hacktivist mit Aktivitäten wie Website-Defacements und Datenleaks seit Februar 2024 eingeordnet; in den letzten Monaten soll sie jedoch auf Verschlüsselung und destructive Angriffe umgestellt haben. Laut der Analyse arbeitet Hacking Cat aktiv mit anderen Hacktivist-Gruppen zusammen, unter anderem mit Cyber Anarchy Squad und der Ukrainian Cyber Alliance. Das kann die Zuordnung einzelner Tools zu konkreten Tätern erschweren, weil mehrere Teams offenbar ähnliche oder gemeinsame Werkzeuge einsetzen. Für Angriffe auf Exchange-Server werden Schwachstellen wie CVE-2021-26855 und CVE-2026-42897 genannt, um einen Go-basierten Remote-Access-Trojaner namens Gorilla RAT zu liefern. Der Trojaner bildet einen Tunneling-Mechanismus ab, der es dem Betreiber erlaubt, auf das interne Netzwerk zuzugreifen.
Gorilla RAT soll nach dem Start eine Verbindung zu einem entfernten Server aufbauen, den betroffenen Host registrieren und dann auf weitere Kommandos warten, die beliebige Befehle erlauben: Prozesse auflisten, Systeminformationen sammeln, Dateien hoch- und herunterladen und TCP-Tunnel öffnen oder schließen. Dazu kommt eine Reihe von Monkey-Ransomware-Varianten, die in mehreren Sprachen implementiert sind, darunter Rust, .NET, C++ und Golang, und die Windows-, Linux- sowie VMware-ESXi-Systeme adressieren sollen. Ein erster Artefakt wird als Ende Sommer 2025 datiert. Charakteristisch sind dabei sowohl Schritte zur Behinderung der Wiederherstellung als auch je nach Variante unterschiedlich ausgeprägte Wiper-Qualitäten: Eine Rust-Variante generiert demnach einen 32-Byte-Schlüssel und verschlüsselt Dateien mit ChaCha20-Poly1305; manche Varianten speichern den Schlüssel gar nicht, wodurch sie faktisch auch als Wiper auftreten, aber dennoch eine Lösegeldnotiz hinterlassen. Andere Varianten speichern den Schlüssel, verzichten jedoch auf Kontaktinformationen in der Notiz, was das Motivprofil eher auf Abschreckung und Verwirrung als auf klassische Erpressung hindeutet.
Neben den Verschlüsselungsdetails werden für Monkey zudem konkrete Manipulationen an Systemkomponenten beschrieben: Die.NET-Variante soll einen 32-Byte-Schlüssel erzeugen, an ein Command-and-Control senden und die Dateipayload mit AES-256-CBC verschlüsseln; außerdem zielt sie auf Privilegsteigerung, Deaktivierung von Windows-Recovery-Mechanismen sowie das Auslesen von Microsoft-Outlook-Zugangsdaten. Für die C++-Variante werden unter anderem persistenzfähige Mechanismen wie geplante Tasks oder RunOnce-Registry-Keys genannt, zusätzlich das Leeren von Systemlogs, das Abschalten von Logging, das Löschen von PowerShell-Command-History und CMD-Verläufen, das Umgehen von AMSI, das Abschalten von ETW sowie die gezielte Konfiguration von Defender-Ausnahmen für den Encryptor. Daneben sollen Registry-Änderungen Funktionen wie Task-Manager und Windows-Command-Prompt erschweren, während das Skript-Ökosystem auch Netzwerk- und Backup-/Recovery-Komponenten adressiert; explizit wird das Deaktivieren bzw. Umgehen von Volume Shadow Copy Service (VSS) erwähnt. Für die Golang-Variante, die für Linux und ESXi gedacht sein soll, werden Persistenz über crontab-Einträge sowie Deaktivierungen von SELinux und AppArmor beschrieben, inklusive dem Versuch, Volume-Shadow-Copies zu löschen; auffällig ist dabei der Hinweis, dass diese Logik in Linux/ESXi „keinen Zweck“ habe, was in der Bewertung als Indiz für Nachlässigkeiten und potenziell für den Einsatz von KI beim Tooling gedeutet wird.
Den Abschluss bildet Toy Ghouls, das laut der Auswertung von geleakten Ransomware-Builders (Babuk und LockBit) zu einer eigenen GenieLocker-Ransomware überging und nun erstmals auf eine maßgeschneiderte Backdoor setzt. Die Gruppe sei seit 2025 aktiv, die Rücktür werde erstmals im Juli 2026 entdeckt, und sie erscheine in zwei Varianten: mqtt-bird-agent 0.1.0 nutzt HiveMQ MQTT Broker, während matrix-bird-agent 0.1.0 Element als Matrix-basierte End-to-End-verschlüsselte Messaging-Plattform für Command-and-Control einsetzt. Als Zustellweg wird Windows Remote Management (WinRM) genannt, unterstützt durch Open-Source-Tools wie Evil-WinRM und WinRM-fs. Die Backdoor kann interaktive Kommandos ausführen, Persistenz als Windows-Dienst anlegen und erwartet eine Konfiguration (config.toml) im selben Verzeichnis oder über Kommandozeilenparameter; die Konfiguration wird teilweise mit einem Schlüssel verschlüsselt, der aus dem MachineGuid-Wert des Systems abgeleitet ist, sodass die Konfiguration an genau diese Maschine gebunden wird. Sobald die Verbindung steht, sendet die Malware Systeminfos, holt Kommandos via HTTP/GET vom Broker, führt sie per PowerShell im versteckten Modus aus und übermittelt Ergebnisse zurück.
Damit zeigt sich das Muster der drei Cluster gleichermaßen als technischer Wettlauf wie als organisatorische Frage: NightEagle verknüpft Exchange- und Active-Directory-Komponenten über Speicherinjektion und Kerberos-nahes Missbrauchspotenzial, Hacking Cat kombiniert ein Remote-Access-Fundament mit mehrsprachigen Verschlüsselungs- und Wiper-Varianten und orchestriert über gemeinsame Hacktivist-Ökosysteme, während Toy Ghouls bewusst auf Kommunikationskanäle setzt, die weniger offensichtlich als klassische C2-Infrastrukturen wirken. Für IT-Verantwortliche heißt das vor allem, dass Detection nicht bei einer einzelnen Malware hängen bleiben darf: Netzwerkpfade rund um VPN-/Tunnel-Zugriffe, Exchange-spezifische Artefakte und Domänenrechte müssen ebenso zusammen betrachtet werden wie Post-Exploitation-Taktiken und systemnahe Recovery-Manipulationen. Gerade in einer Zeit, in der Tools aus öffentlich verfügbaren Bausteinen entstehen und dann in unterschiedlichen Kampagnen wiederkehren, wird die robuste Abwehr zur Frage von Telemetrie, Korrelation und klaren Hardening-Regeln über Systemgrenzen hinweg.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Drei Threat-Gruppen treffen russische Unternehmen: Backdoors, Ransomware & Wiper" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Drei Threat-Gruppen treffen russische Unternehmen: Backdoors, Ransomware & Wiper" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Drei Threat-Gruppen treffen russische Unternehmen: Backdoors, Ransomware & Wiper« bei Google Deutschland suchen, bei Bing oder Google News!