Cybersicherheit
Russische Hacker forcieren Angriffe auf Waffenlieferanten der Ukraine
- Aktualisiert: 15.05.2025
- 12:41 Uhr
- dpa
Rüstungsfirmen, die der Ukraine Waffen liefern, geraten ins Visier: Einer aktuellen Studie zufolge, hat die russische Hackergruppe Fancy Bear Waffenhersteller in Osteuropa, aber auch in Afrika und Südamerika attackiert.
Das Wichtigste in Kürze
Der aktuellen Studie einer slowakischen Sicherheitsfirma zufolge hat die russische Hackergruppe Fancy Bear gezielt Rüstungsfirmen attackiert, die der Ukraine Waffen liefern.
Dabei traf es neben Rüstungsfirmen in der Ukraine, Bulgarien sowie Rumänien auch Unternehmen in Afrika und Südamerika.
Die verantwortliche Hackergruppe soll 2015 bereits den Bundestag angegriffen haben.
Die berüchtigte russische Hackergruppe Fancy Bear hat gezielt Rüstungsfirmen angegriffen, die Waffen an die Ukraine liefern. Das geht aus einer aktuellen Studie des slowakischen Sicherheitsunternehmens Eset aus Bratislava hervor. Danach richteten sich die Angriffe vor allem gegen Hersteller sowjetischer Waffentechnik in Bulgarien, Rumänien und der Ukraine, die eine Schlüsselrolle beim Abwehrkampf gegen den Überfall Russlands spielen. Betroffen waren aber auch Rüstungsbetriebe in Afrika und Südamerika.
Die Hackergruppe Fancy Bear ist auch unter dem Namen Sednit oder APT28 bekannt. Sie soll auch für die Angriffe auf den Deutschen Bundestag (2015), die US-Politikerin Hillary Clinton (2016) und die Parteizentrale der SPD (2023) verantwortlich gewesen sein. Die Gruppe ist nach Ansicht von Expert:innen Teil einer größeren Strategie russischer Geheimdienste, Cyberangriffe als Mittel der politischen Einflussnahme und Destabilisierung einzusetzen. Neben Spionage stehen dabei auch gezielte Desinformationskampagnen im Fokus, die sich gegen westliche Demokratien richten.
Angriff über manipulierte Webmail-Systeme
Bei der aktuellen Spionagekampagne mit dem Namen "Operation RoundPress" nutzten die Hacker:innen Schwachstellen in verbreiteter Webmail-Software aus, darunter die Programme Roundcube, Zimbra, Horde und MDaemon. Etliche Schwachstellen hätten durch eine gute Software-Wartung beseitigt werden können. In einem Fall waren die betroffenen Firmen aber quasi machtlos, weil die Angreifer:innen eine bis dahin unbekannte Sicherheitslücke in MDaemon ausnutzen konnten, die zunächst nicht geschlossen werden konnte.
Nach den Erkenntnissen der Eset-Forscher:innen wurden die Angriffe in der Regel mit manipulierten E-Mails gestartet, die sich als Nachrichtenmeldungen tarnen. Als Absender dienen scheinbar seriöse Quellen wie die Kyiv Post oder das bulgarische Nachrichtenportal News.bg. Sobald die E-Mail im Browser geöffnet wird, startet ein versteckter Schadcode. Spamfilter werden dabei erfolgreich umgangen.
Zwei-Faktor-Schutz umgangen
Die Expert:innen aus Bratislava konnten bei der Analyse der Angriffe die Schadsoftware "SpyPress.MDAEMON" identifizieren. Das Hackerprogramm sei nicht nur in der Lage, Zugangsdaten auszulesen und E-Mails mitzuverfolgen. Es könne sogar die Zwei-Faktor-Authentifizierung aushebeln. Die Zwei-Faktor-Authentifizierung (kurz 2FA) ist eine zusätzliche Sicherheitsmaßnahme beim Einloggen in Online-Konten oder beim Zugriff auf sensible Daten. Sie sorgt dafür, dass nicht nur ein Passwort ausreicht, um Zugang zu bekommen, sondern noch ein zweiter Nachweis verlangt wird. Den Hacker:innen von Fancy Bear sei es jedoch in mehreren Fällen gelungen, den 2FA-Schutz zu umgehen und mit sogenannten Anwendungspasswörtern dauerhaft auf Postfächer zuzugreifen.
"Viele Firmen betreiben veraltete Webmail-Server", sagte Eset-Forscher Matthieu Faou. "Schon das bloße Anzeigen einer E-Mail im Browser kann ausreichen, um Schadcode auszuführen, ohne dass der Empfänger aktiv etwas anklickt."