LONDON (IT BOLTWISE) – Ermittler berichten, dass die GRU-Gruppe APT28 über Jahre tausende SOHO-Router in 23 US-Bundesstaaten kompromittierte, indem sie unpatched Firmware und Standardzugänge ausnutzte. Dabei wurden DNS-Anfragen so umgeleitet, dass Angreifer den Datenverkehr fortlaufend mitlesen und Zielsysteme über Server unter Kontrolle lenken konnten. Unternehmen und Beschäftigte im Homeoffice sollten daher besonders auf Router-Updates, die Abschaltung unnötiger Fernverwaltung sowie den sicheren Zugriff über VPN achten. Entscheidender Punkt: Externe Maßnahmen können die Ursprungslücke nicht schließen – nur ein konsequentes Patchen bzw. Ersetzen der betroffenen Geräte reduziert das Risiko.
Die Meldung klingt zunächst nach einem klassischen Fall für Netzwerkspezialisten: Ein Teil der russischen Militärnachrichtendienste soll mit APT28 (auch als Fancy Bear und Forest Blizzard in verschiedenen Kontexten benannt) über kompromittierte SOHO-Router großflächig Spionage betrieben haben. Besonders brisant ist dabei die Angriffslogik, denn sie baut auf alltäglicher Netzwerkinfrastruktur auf, die in vielen Unternehmen historisch gewachsen ist. Anders als bei gezielter Malware-Installation genügt hier oft ein „Schwachstellenfenster“ aus veralteter Firmware und unveränderten Standardpasswörtern. Dass Bundesbehörden die Operation im April per gerichtlicher Anordnung unterbrachen, ändert wenig an der Kernfrage, welche Geräte weiterhin verwundbar bleiben.
Technisch handelt es sich laut den verfügbaren Berichten um eine DNS-Hijacking-Kampagne: Angreifer greifen DNS-Anfragen ab, indem sie Konfigurationseinstellungen auf den betroffenen Routern ändern. So kann Traffic umgelenkt werden, ohne dass der Nutzer zwangsläufig offensichtliche Anzeichen sieht. DNS ist in der Praxis ein strategischer Hebel, weil damit die Zuordnung von Hostnamen zu IP-Adressen manipuliert wird und sich daraus sowohl Proxy-ähnliche Umleitungen als auch das Sammeln von Informationen ableiten lassen. Für fortgeschrittene staatlich unterstützte Akteure ist das attraktiv, weil Sichtbarkeit passiv und wiederkehrend über viele Zielsysteme hinweg entsteht, statt nur kurze „Anlaufphasen“ zu benötigen.
Für die weitere Einordnung ist wichtig, dass die Kampagne nicht nur theoretisch auf „bestimmte Modellreihen“ zielte, sondern konkrete Gerätefamilien umfasste. In den Mitteilungen wurde unter anderem ein TP-Link TL-WR841N als exemplarischer Fall genannt; zusätzlich führen die zuständigen Stellen eine Liste mit 23 betroffenen TP-Link-Modellen. Viele dieser Router wurden bereits vor Jahren veröffentlicht und gelten inzwischen als außerhalb des Wartungslebenszyklus. Ein Unternehmen muss das nüchtern betrachten: Selbst wenn die betroffenen Geräte im Homeoffice stehen, kann ihr Sicherheitsstatus direkt auf Unternehmensressourcen durchschlagen, etwa wenn Mitarbeiter per Remote-Zugriff auf interne Systeme zugreifen oder sensible Daten in Anwendungen synchronisieren.
Aus Branchen- und Marktsicht passt das Ereignis in einen breiteren Trend, den auch Security-Analysten wiederholt betont haben: Router sind häufiger Zielobjekte, weil sie im Netzwerk „privilegiert“ positioniert sind. Ein Forescout-Manager hat sinngemäß hervorgehoben, dass Kommunikation sämtlicher Clients über diese Gateways läuft und Angriffe daher besonders ergiebig sein können. Gleichzeitig erinnert das Muster an frühere Wellen von APT-Kampagnen, bei denen Angreifer nicht primär Endgeräte, sondern die Peripherie kompromittierten – vergleichbar mit etablierten Vorgehensweisen in der Industrie, die inzwischen von Anbietern wie Cisco oder Fortinet in ihren Threat-Research-Programmen regelmäßig aufgegriffen werden. Der Unterschied liegt hier weniger in der grundsätzlichen Ausnutzbarkeit, sondern in der Skalierung über viele States hinweg.
Für die praktische Risikoabwägung gilt: Nicht jeder Haushalt ist automatisch betroffen, und viele moderne Consumer-Router erhalten regelmäßig Sicherheitsupdates. Dennoch können „veraltete“ Modelle in Unternehmen oder in kleineren Niederlassungen weiterhin im Einsatz sein, etwa in Empfangsbereichen, Lagerstandorten oder bei ausgelagerten Services. Besonders kritisch wird es, wenn Standardpasswörter, Default-Administrationskonten oder eine aktivierte Fernverwaltung bestehen bleiben. Der Angriff nutzt dabei nicht nur die anfällige Firmware, sondern auch die Wahrscheinlichkeit, dass Geräte nie konsequent gehärtet wurden. Genau diese Kombination macht die Maßnahme für Angreifer günstig: geringe Hürde, hohe Reichweite.
Was können Betreiber jetzt tun, ohne sich in Aktionismus zu verlieren? Erstens steht das Upgraden oder Ersetzen der betroffenen Router an: Wer Geräte nutzt, die seit Jahren keine relevanten Sicherheitsupdates erhalten, sollte sie wie eine „offene Tür“ behandeln. Zweitens sind regelmäßige Firmware-Aktualisierungen – wenn möglich automatisch – ein zentraler Baustein; andernfalls muss der Admin aktiv über Weboberfläche oder Hersteller-Apps nachziehen. Drittens empfiehlt sich ein abgestimmter Wiederanlaufplan: regelmäßige Reboots können helfen, unerwünschte Persistenz zu reduzieren, ersetzen aber kein Patchen. Viertens sollte das Monitoring für Router-Änderungen verstärkt werden, etwa durch Audit-Logs, soweit verfügbar, oder durch zentralen Netzwerk-Sicherheits-Scanning-Ansatz.
Darüber hinaus sollten Konten und Zugriffspfade gehärtet werden. Das betrifft die Änderung von Default-Login-Daten im Router-Adminbereich, denn Credentials werden nachweislich auch als wiederverwendbare „Ware“ gehandelt. Wichtig ist die Unterscheidung: Router-Login und WLAN-Passphrase sind nicht dasselbe; beide sollten geändert und langfristig robust gehalten werden. Ebenso sollte Remote Management deaktiviert werden, sofern nicht zwingend erforderlich. Gerade diese Option ermöglicht es Bedrohungsakteuren, Einstellungen ohne lokales Eingreifen zu verändern. Für Unternehmen mit Remote-Work-Szenarien wird zudem in den Mitteilungen ausdrücklich die Nutzung von VPNs empfohlen, weil damit der Datenverkehr in einem gesicherten Tunnel über eine Kontrollinstanz fließt und das Risiko für unverschlüsseltes Abhören sinkt.
Auf regulatorischer und datenschutzbezogener Ebene ist die Lage ebenfalls relevant: Sobald Router-Komponenten dazu beitragen können, dass personenbezogene Daten abgegriffen oder umgeleitet werden, berührt das indirekt Pflichten aus der DSGVO, etwa zur Gewährleistung angemessener technischer und organisatorischer Maßnahmen. Für die Unternehmenspraxis heißt das: Sicherheitsmaßnahmen sind nicht nur „IT-Betrieb“, sondern Teil eines Compliance- und Risikokonzepts, das sich dokumentieren lassen muss. In der Zukunft wird das Thema weiter an Bedeutung gewinnen, weil moderne Zero-Trust-Ansätze zwar Endpunkte und Identitäten stärker absichern, aber Gateways und Netzwerkkanten trotzdem in die Threat-Modelle gehören. Der nächste Schritt für Teams ist daher, Router als Security-Komponente zu behandeln: mit klaren Patch-Zyklen, inventarisierter Hardware und einer Planbarkeit, wann Altgeräte automatisiert ersetzt werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "GRU-APT28 kapert Router per DNS-Hijacking: So schützen Unternehmen ihre Netze" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "GRU-APT28 kapert Router per DNS-Hijacking: So schützen Unternehmen ihre Netze" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »GRU-APT28 kapert Router per DNS-Hijacking: So schützen Unternehmen ihre Netze« bei Google Deutschland suchen, bei Bing oder Google News!