UKRAINE / LONDON (IT BOLTWISE) – Der als APT28 geführte russisch verlinkte Akteur soll zwei NATO-Staaten angegriffen und dabei neue Module wie HOOKEDGE sowie einen reflektierenden Loader eingesetzt haben. Im Fall eines maritimen Schiffbauers wird beschrieben, dass Angreifer über mehrere Tage wiederholt auf einen bereits kompromittierten Host zurückkehrten, Credentials stahlen und einen persistenten SSH-Tunnel aufbauten. Neu ist außerdem die Arbeitsweise des Loader-Betriebs: Ein verschlüsseltes Payload-Handling soll zur Laufzeit über einen kryptografischen Schlüssel erfolgen, während Aufgaben über einen Webhook-Mechanismus oder per dedizierter IP ausgeliefert werden. Parallel werden weitere Command-and-Control-Server eines PowerShell-basierten Rats in Angriffskampagnen gegen ukrainische Ziele benannt.
Der als APT28 geführte, russisch verlinkte Bedrohungsakteur sorgt erneut für erhöhten Handlungsdruck in der IT-Sicherheit entlang sicherheitskritischer Lieferketten. Laut einer Analyse, die die Aktivitätscluster unter dem Namen „Swallowtail“ zusammenfasst, sollen in NATO-Mitgliedsstaaten mehrere Zieltypen betroffen gewesen sein: eine Behörde für Strafverfolgung, ein maritimer Schiffbauzulieferer sowie ein Hersteller von militärischen Flugmotoren. Gerade bei maritimen und luftfahrtbezogenen Akteuren ist das Profil besonders riskant, weil dort häufig sowohl technische Dokumentation als auch operative Integrations- und Entwicklungsinformationen zusammenlaufen, die für nachrichtendienstliche Aktivitäten verwertbar sein können.
Technisch wird die Kampagne vor allem über zwei Bausteine greifbar: den Backdoor-Mechanismus HOOKEDGE und einen bislang unbekannten Loader, der verschlüsselte Nutzlasten im Speicher entschlüsseln und ausführen soll. Bemerkenswert ist dabei, wie stark die Ausführung auf einen Laufzeit-Parameter setzt: Ein kryptografischer Schlüssel wird zur Programmlaufzeit bereitgestellt, damit der Code eine verschlüsselte Payload entschlüsseln und danach „in-memory“ starten kann. Das reduziert klassische Sichtbarkeit über Dateidownloads, weil der entscheidende Teil nicht zwingend als unmittelbar ausführbare Binärdatei auf dem Datenträger landet.
Im beschriebenen Angriff gegen den Schiffbaukonzern soll das Vorgehen über längere Zeit nachverfolgt werden können: Operatoren seien wiederholt in den kompromittierten Systemzustand zurückgekehrt, und zwar über den Zeitraum einer Woche, was auf „hands-on-keyboard“-Aktivität hindeuten kann. Für den Zugriff ins interne Netzwerk wird zudem ein persistenter Kommunikationskanal genannt: Ein persistenter SSH-Tunnel soll ausgenutzt worden sein, um einen dauerhaften Rückweg von der Angreiferinfrastruktur in das Zielnetzwerk zu schaffen. Beim Credential-Diebstahl beschreibt die Analyse zwei getrennte Techniken, darunter das Platzieren eines SSH-Private-Keys auf dem System und das direkte anschließende Öffnen einer SSH-Verbindung zurück zu einem Angreifer-Server.
Daneben fällt die Wahl der Zwischenstufe auf, mit der Tasks vom kompromittierten System geladen werden. Bei HOOKEDGE werden Makro-fähige Microsoft-Word-Dokumente als Initialvektor beschrieben, die die Backdoor installieren oder anstoßen. Für die Task-Kommunikation wird zunächst ein Webhook-gestützter Kanal verwendet, der als Koordinations- und Rückkanal dient: Aufgaben werden per Webhook[.]site-ähnlicher Adresse staged und Ausführungsoutput zurückgespielt. Anschließend holt das infizierte System die Tasks über eine versteckte, off-screen gestartete Microsoft-Edge-Instanz, anstatt auf einen klassischen Downloader zu setzen. In einer späteren Phase des Schiffbauangriffs wird das Muster jedoch weiterentwickelt: Neue Varianten sollen den Webhook-Ansatz zugunsten einer dedizierten IP-Adresse verlassen haben, die sowohl fürs Tasking als auch fürs Exfiltration eingesetzt wird.
Ergänzend wird ein reflektierender Loader beschrieben, der als „ld.exe“ abgelegt und anschließend via SSH per curl-Kommandos nachgeladen werden soll; dieser Loader sei wiederum so konstruiert, dass er eine nächste Komponente dekodiert und ausführt. Der Kernpunkt für Verteidigungsteams ist dabei weniger die exakte Dateibezeichnung als der modulare Ablauf: erst ein speicherbasierter Entschlüsselungs- und Ausführungsmechanismus, dann ein Loader, der Folgefunktionen nachzieht. Genau dieses Zusammenspiel macht die Detektion komplex, weil einzelne Bausteine allein harmlos wirken können, während die Kette aus Tasking, In-Memory-Ausführung, Netzwerkpersistenz und nachgelagertem Laden erst das vollständige Bild ergibt.
Die gleiche Bedrohungslandschaft taucht parallel in anderen Berichten wieder auf. So nennt Team Cymru fünf zusätzliche Command-and-Control-Server, die im Kontext von Angriffen gegen ukrainische Ziele eingesetzt worden sein sollen; diese Infrastruktur ist mit „LegionRelay“ verknüpft, einem PowerShell-basierten RAT, der unter anderem Datei-Enumeration, Exfiltration, Screenshot-Fähigkeiten sowie Browser-Datenraub und die Einrichtung von RDP-Zugriffen unterstützen kann. Die Zuordnung erfolgt zu einem Akteursnamen („GREYVIBE“), wobei in der Einordnung von „persistent attacks“ die Kontinuität seit mindestens August 2025 betont wird. Für Unternehmen bedeutet das: Selbst wenn ein einzelnes Implantat aus dem Netzwerk „verschwindet“, kann die übergeordnete Kampagnen-Logik über weitere C2-Infrastrukturpunkte fortbestehen.
Auch der Blick auf Ukraine-bezogene Vorfälle erweitert das Bild: Das CERT-UA beschreibt, dass russische Akteure zunehmend Smartphones von Militärangehörigen und Regierungsmitarbeitern ins Visier nehmen, um sowohl Spionage- als auch finanziell motivierte Angriffe voranzutreiben. Genannt werden dafür unter anderem iOS-Exploit-Kits, die über Watering-Hole-Ansätze verteilt werden sollen, sowie Android-Malware-Familien, die laut Bericht gezielt Gerätesystemdaten, Geolokalisierung, SIM-Informationen, Kontakte und Anruflisten abgreifen bzw. die Kontrolle über das Gerät ermöglichen. Ergänzend wird hervorgehoben, dass APT28 auch bekannte, aber weiterhin wirksame Wege nutzt, etwa Exploits gegen Webmail-Komponenten wie Roundcube sowie Makro-basierte Excel-Dokumente. In der Summe zeigt sich: Nicht nur die Payload-Implementierung, auch die Angriffsoberfläche wandert – von Office und Webmail über Netzwerkpersistenz bis hin zu mobilen Endgeräten – und macht einen reinen „Patch-only“-Ansatz für Defender zu kurz.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "APT28 kompromittiert NATO-Schiffbau: HOOKEDGE-Loader und Credential-Theft im Fokus" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "APT28 kompromittiert NATO-Schiffbau: HOOKEDGE-Loader und Credential-Theft im Fokus" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »APT28 kompromittiert NATO-Schiffbau: HOOKEDGE-Loader und Credential-Theft im Fokus« bei Google Deutschland suchen, bei Bing oder Google News!