Russische Hacker greifen Regierung von Tadschikistan mit manipulierten Word-Dokumenten an

MOSKAU / LONDON (IT BOLTWISE) – Die Bedrohung durch Cyberangriffe nimmt weltweit zu, und jüngste Berichte deuten darauf hin, dass eine russisch ausgerichtete Hackergruppe, bekannt als TAG-110, gezielt die Regierung von Tadschikistan ins Visier genommen hat.

Die Bedrohung durch Cyberangriffe nimmt weltweit zu, und jüngste Berichte deuten darauf hin, dass eine russisch ausgerichtete Hackergruppe, bekannt als TAG-110, gezielt die Regierung von Tadschikistan ins Visier genommen hat. Diese Gruppe, die auch unter dem Namen UAC-0063 bekannt ist, hat eine neue Taktik entwickelt, um ihre Angriffe durchzuführen. Anstatt wie bisher auf HTML-Anwendungen zu setzen, verwenden sie nun Word-Dokumente mit Makros, um ihre Schadsoftware zu verbreiten.

Die Angriffe richten sich vor allem gegen staatliche Institutionen, Bildungseinrichtungen und Forschungseinrichtungen in Tadschikistan. Ziel dieser Cyberangriffe ist es, sensible Informationen zu sammeln, die für politische oder sicherheitspolitische Zwecke genutzt werden können. Besonders in Zeiten politischer Spannungen oder während Wahlen sind solche Informationen von großem Interesse.

TAG-110 ist seit mindestens 2021 aktiv und hat in der Vergangenheit auch europäische Botschaften sowie Organisationen in Zentral- und Ostasien angegriffen. Die Gruppe wird mit der russischen Hackergruppe APT28 in Verbindung gebracht, die für ihre ausgeklügelten Cyberangriffe bekannt ist. Im Mai 2023 dokumentierte das rumänische Unternehmen Bitdefender eine Kampagne von TAG-110, die sich gegen Regierungsstellen in Kasachstan und Afghanistan richtete.

Die aktuelle Kampagne gegen Tadschikistan, die im Januar 2025 begann, zeigt eine deutliche Weiterentwicklung der Taktiken von TAG-110. Anstatt auf die bisher verwendeten HTA-Loader zu setzen, nutzen sie nun Word-Vorlagen mit Makros, um die Schadsoftware zu verbreiten. Diese Vorlagen werden in den Startordner von Microsoft Word platziert, um bei jedem Start des Programms automatisch ausgeführt zu werden.

Die Phishing-E-Mails, die von TAG-110 verwendet werden, enthalten Dokumente, die scheinbar von der tadschikischen Regierung stammen. Diese Dokumente dienen als Köder, um die Opfer dazu zu bringen, die Makros zu aktivieren. Sobald dies geschieht, wird eine Verbindung zu einem Command-and-Control-Server hergestellt, über den weitere Schadsoftware nachgeladen werden kann.

Obwohl die genaue Natur der nachgeladenen Schadsoftware nicht bekannt ist, gehen Experten davon aus, dass TAG-110 auf bewährte Tools wie HATVIBE, CHERRYSPY oder LOGPIE zurückgreifen könnte. Es besteht jedoch auch die Möglichkeit, dass sie neue, speziell entwickelte Schadsoftware einsetzen, um ihre Ziele zu erreichen.

Die Bedrohung durch TAG-110 zeigt, wie wichtig es ist, wachsam zu bleiben und sich gegen Cyberangriffe zu schützen. Unternehmen und staatliche Institutionen sollten ihre Sicherheitsmaßnahmen regelmäßig überprüfen und aktualisieren, um sich gegen die ständig weiterentwickelnden Taktiken von Cyberkriminellen zu wappnen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!