Russische Hackergruppe Fancy Bear greift Rüstungsfirmen an

JENA / BRATISLAVA / MÜNCHEN (IT BOLTWISE) – Die russische Hackergruppe Fancy Bear hat erneut zugeschlagen und gezielt Rüstungsfirmen ins Visier genommen, die Waffen an die Ukraine liefern. Eine aktuelle Studie des slowakischen Sicherheitsunternehmens Eset aus Bratislava zeigt die Hintergründe und Methoden dieser Angriffe auf.

Die berüchtigte russische Hackergruppe Fancy Bear, auch bekannt als Sednit oder APT28, hat sich auf Rüstungsfirmen spezialisiert, die Waffen an die Ukraine liefern. Diese gezielten Angriffe sind Teil einer größeren Strategie russischer Geheimdienste, die Cyberangriffe als Mittel der politischen Einflussnahme und Destabilisierung einsetzen. Laut einer Studie des slowakischen Sicherheitsunternehmens Eset aus Bratislava richteten sich die Angriffe vor allem gegen Hersteller sowjetischer Waffentechnik in Bulgarien, Rumänien und der Ukraine. Diese Länder spielen eine Schlüsselrolle im Abwehrkampf gegen den russischen Überfall. Auch Rüstungsbetriebe in Afrika und Südamerika waren betroffen.

Fancy Bear ist bekannt für ihre Cyberangriffe auf hochrangige Ziele, darunter der Deutsche Bundestag im Jahr 2015, die US-Politikerin Hillary Clinton im Jahr 2016 und die Parteizentrale der SPD im Jahr 2023. Experten sehen in diesen Aktionen eine gezielte Strategie, um westliche Demokratien zu destabilisieren. Neben Spionage stehen auch gezielte Desinformationskampagnen im Fokus der Gruppe.

Die aktuelle Spionagekampagne, bekannt als „Operation RoundPress“, nutzte Schwachstellen in verbreiteter Webmail-Software aus. Betroffen waren Programme wie Roundcube, Zimbra, Horde und MDaemon. Viele dieser Schwachstellen hätten durch eine gute Software-Wartung beseitigt werden können. In einem Fall konnten die Angreifer jedoch eine bis dahin unbekannte Sicherheitslücke in MDaemon ausnutzen, die zunächst nicht geschlossen werden konnte.

Die Angriffe begannen in der Regel mit manipulierten E-Mails, die sich als Nachrichtenmeldungen tarnen. Diese E-Mails wurden von scheinbar seriösen Quellen wie der Kyiv Post oder dem bulgarischen Nachrichtenportal News.bg gesendet. Sobald die E-Mail im Browser geöffnet wurde, startete ein versteckter Schadcode. Spamfilter wurden dabei erfolgreich umgangen.

Besonders besorgniserregend ist die Fähigkeit der Hacker, die Zwei-Faktor-Authentifizierung (2FA) zu umgehen. Die von den Eset-Forschern identifizierte Schadsoftware „SpyPress.MDAEMON“ kann nicht nur Zugangsdaten auslesen und E-Mails mitverfolgen, sondern auch den 2FA-Schutz aushebeln. Dies ermöglicht den Hackern, dauerhaft auf Postfächer zuzugreifen.

Matthieu Faou, Eset-Forscher, betont, dass viele Firmen veraltete Webmail-Server betreiben. „Schon das bloße Anzeigen einer E-Mail im Browser kann ausreichen, um Schadcode auszuführen, ohne dass der Empfänger aktiv etwas anklickt“, erklärt Faou. Diese Angriffe verdeutlichen die Notwendigkeit, Sicherheitsmaßnahmen zu aktualisieren und zu verstärken, um derartigen Bedrohungen entgegenzuwirken.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!