Hacker greifen Rüstungsfirmen mit Ukraine-Bezug an

Eine neu entdeckte Spionagekampagne hat mehrere Unternehmen ins Visier genommen, die an der militärischen Unterstützung der Ukraine beteiligt sind. Die Angriffe richten sich insbesondere gegen Hersteller sowjetischer Waffentechnik in Bulgarien, Rumänien und der Ukraine. Länder, deren industrielle Ressourcen für die Verteidigung Kiews von zentraler Bedeutung sind. Die Attacken zeigen, wie eng digitale Operationen mit geopolitischen Konflikten verwoben sind.

Schadsoftware nutzt Sicherheitslücken in Webmail-Systemen

Die Angreifer nutzten Sicherheitslücken in weit verbreiteten Webmail-Lösungen wie Roundcube, Horde, Zimbra und MDaemon. Besonders kritisch: Eine bislang unbekannte Zero-Day-Schwachstelle in MDaemon wurde aktiv ausgenutzt. In den meisten Fällen begann der Angriff mit einer präparierten E-Mail, die als Nachricht einer vertrauenswürdigen Quelle getarnt war, etwa mit Absendern, die scheinbar von bekannten osteuropäischen Medien stammen.

Allein das Anzeigen der E-Mail im Browser reichte aus, um Schadcode auszuführen, ohne dass der Empfänger eine Datei öffnen oder einen Link anklicken musste. Auf diesem Weg wurde eine komplexe Spionagesoftware eingeschleust, die unter anderem in der Lage ist, Zugangsdaten zu stehlen, E-Mails mitzulesen und sogar Zwei-Faktor-Authentifizierungen zu umgehen.

Spionagesoftware mit dauerhaftem Zugriff

Im Zentrum der Angriffe steht eine Schadkomponente, die es ermöglicht, sogenannte Anwendungspasswörter zu erzeugen, eine Funktion, mit der Angreifer trotz aktivierter Zwei-Faktor-Authentifizierung dauerhaft auf E-Mail-Konten zugreifen konnten. Über diese Hintertür lassen sich nicht nur Nachrichten mitlesen, sondern auch Kontakte und Kommunikationsstrukturen ausspähen.

Besonders gefährdet sind Unternehmen, die veraltete Webmail-Server betreiben. In vielen Fällen genügt bereits ein ungeschützter Browserzugriff auf die Mailoberfläche, um den Angriff zu ermöglichen. Die technische Raffinesse der Angreifer lässt auf eine langfristig angelegte Operation schließen.

Zielgerichtete Spionage in geopolitisch sensiblen Regionen

Der geografische Schwerpunkt der Kampagne liegt in Osteuropa. Die betroffenen Firmen sind mehrheitlich in der Produktion und Logistik sowjetischer Waffenmodelle tätig. – Ausrüstung, die für die ukrainischen Streitkräfte weiterhin von hoher operativer Relevanz ist. Neben Zielen in der Ukraine, Bulgarien und Rumänien wurden auch vereinzelte Angriffe in Afrika, Südamerika und anderen Teilen Europas festgestellt.

Auffällig ist der zeitliche Kontext der Angriffe: Sie ereigneten sich in unmittelbarer Nähe zu diplomatischen Gesprächen zwischen der Ukraine und Russland in der Türkei. Die zeitliche Koinzidenz deutet darauf hin, dass die Operation nicht nur wirtschaftliche oder industrielle Ziele verfolgt, sondern auch politische Informationen von Bedeutung sein könnten.

Strategische Handschrift einer bekannten Gruppe

Die eingesetzten Techniken und Werkzeuge zeigen Parallelen zu früheren Cyberoperationen, die mit der russlandnahen Gruppe Sednit (auch bekannt als APT28 oder Fancy Bear) in Verbindung gebracht wurden. Die Gruppe ist seit über zwei Jahrzehnten aktiv und wurde bereits mit Angriffen auf den Deutschen Bundestag, das US-Wahlkomitee und die Welt-Anti-Doping-Agentur (WADA) in Verbindung gebracht.

Kennzeichnend für Sednits Vorgehen sind Spearphishing-E-Mails, die gezielt an hochrangige Zielpersonen gesendet werden, sowie die Nutzung maßgeschneiderter Schadsoftware. Auch der Einsatz von Zero-Day-Exploits und die Fähigkeit, sich dauerhaft in Netzwerken festzusetzen, sind typische Merkmale.

Digitale Verwundbarkeit in Zeiten des Krieges

Die aufgedeckte Kampagne unterstreicht, wie sehr digitale Verwundbarkeit inzwischen Teil militärischer und geopolitischer Auseinandersetzungen geworden ist. Besonders alarmierend ist die Leichtigkeit, mit der zentrale Kommunikationssysteme unterlaufen werden konnten, selbst bei aktivierten Sicherheitsvorkehrungen.

Organisationen, die in sicherheitsrelevanten Lieferketten tätig sind, stehen damit vor einer neuen Bedrohungslage. Webmail-Systeme, die häufig aus Gründen der Kompatibilität oder Bequemlichkeit nicht regelmäßig aktualisiert werden, entwickeln sich zunehmend zu Einfallstoren für staatlich gesteuerte Cyberoperationen.

Quelle: Technische Details und die vollständige Analyse der Angriffe stammen aus einem Bericht auf welivesecurity.com

Lesen Sie auch: Clownswelt: Warum Böhmermanns Enthüllung richtig war!